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Editorial 


Liebe Leserinnen, liebe Leser, 


lange hat der Sommer auf sich warten lassen. Und vergeblich warten mus- 
sten wir in diesem Frühjahr auch auf Durchbrüche beim Datenschutz. Damit 
meinen wir nicht die überfällige Beerdigung des Regierungsentwurfs zum 
Beschäftigtendatenschutz. Wir hätten uns aber etwa über schnelle Klarheit 
über die durch Tausende von Änderungsvorschlägen etwas unübersicht- 
lich gewordene Weiterentwicklung des Entwurfs der EU-Datenschutz- 
Grundverordnung gefreut. Wir bekommen: ein Wahlkampfsommerloch 
und neue grausame Wahrheiten über die Datenkrake NSA. Datenschutz mit 
Hindernissen also. Es gibt auch welche, die Hindernisse anpacken: wir ge- 
ben Ihnen einen kurzen Überblick über die diesjährigen Big-Brother-Awards 
(BBA), die wieder ausgesuchte Datenkraken an den Haken genommen ha- 
ben. Außerdem dokumentieren wir ein sicher bald als „apple-Entscheidung“ 
bekannt werdendes Urteil des Landgerichts Berlin, - mit einem Kommentar 
von Rena Tangens. Gesetztes Wissen präsentieren wir Ihnen mit dem Beitrag 
von Prof. Anne Riechert, welche ein kritisches Resümee zum Konzept der 
Funktionsübertragung im Datenschutzrecht zieht. Karsten Neumann unter- 
zieht die noch relativ junge Regelung zur Breach Notification einer fakten- 
gestützten Würdigung. Thilo Weichert schließlich bring uns auf den neue- 
sten Stand bei Google Glass. Und natürlich wieder Nachrichten, Nachrichten, 
Nachrichten. 


Anregende Lektüre und einen guten Start in den Sommer wünscht Ihnen 


Sönke Hilbrans 


Autorinnen und Autoren dieser Ausgabe: 


Karsten Neumann 

Vorstandsmitglied der DVD, Landesbeauftragter für Datenschutz Mecklenburg- 
Vorpommern a.D., Associate Partner der 2B Advice GmbH, 
neumann@datenschutzverein.de 
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Professur für Datenschutzrecht und Recht in der Informationsverarbeitung 
an der Fachhochschule Frankfurt am Main. 

Während ihrer Tätigkeit als Rechtsanwältin hat sie Unternehmen unter an- 
derem in vertrags- und datenschutzrechtlichen Angelegenheiten beraten. 
anne.riechert@gmx.de 


Rena Tangens 

Mitbegründerin und Vorsitzende des Bielefelder Vereins digitalcourage (ehemals 
FoeBuD), Mitglied der Jury bei den BigBrotherAwards. 
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Anne Riechert 


Outsourcing von Datenverarbeitung: 
Probleme der Funktionsübertragung 


I .Einleitung 


Das Konzept der Funktionsüber- 
tragung beruht auf der Annahme, 
dass Unternehmen Aufgaben, die die 
Verarbeitung von Kunden-oder Mitar- 
beiterdaten zum Gegenstand haben, 
vollständig auslagern dürfen. Die Frage 
ist nur: Warum? Denn zu berücksichti- 
gen ist, dass keine datenschutzrechtli- 
che Vorschrift eine solche Übertragung 
von Funktionen ausdrücklich regelt. 
Die Zulässigkeit wird vielmehr daraus 
hergeleitet, dass eine Norm des Bundes- 
datenschutzgesetzes die Übermittlung 
von Daten grundsätzlich erlaubt, wenn 
kein Grund zur Annahme besteht, dass 
schutzwürdige Interessen der Betroffen 
überwiegen. Da diese Abwägung jedoch 
ohne Mitspracherecht der Betroffenen 
allein in die Hände der Unternehmer 
gelegt wird, können letztere das Ver- 
botsprinzip mit Erlaubnisvorbehalt ($ 4 
Abs. 1 BDSG) mühelos in ihrem Sinne 
anwenden. Diese Maxime des Daten- 
schutzrechts fordert für jede Erhebung, 
Verarbeitung oder Nutzung von Da- 
ten eine gesetzliche Erlaubnis oder die 
Einwilligung der Betroffenen. Für die 
Verwirklichung des gesetzgeberischen 
Ziels, das Persönlichkeitsrecht des Ein- 
zelnen zu schützen, ist es allerdings 
mehr als fraglich, ob der Gesetzgeber 
eine solche Vorgehensweise tatsächlich 
als interessengerecht einstufen kann. 
Es ist selbstredend, dass der Fokus 
nicht auf das Bedürfnis der Unterneh- 
mer nach bequemer und pragmatischer 
Gestaltung von Geschäftsprozessen ge- 
richtet sein darf, welches zu dem Daten- 
schutzinteresse der Betroffenen völlig 
konträr ist. Unternehmen haben keinen 
Anspruch darauf, in unkomplizierter 
Weise an den Vorteilen einer arbeitstei- 
ligen Wirtschaft teilzuhaben.' Aber die 
Betroffenen haben ein grundgesetzlich 
garantiertes Recht auf informationelle 
Selbstbestimmung. 
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Ein weiteres Outsourcing-Konzept, 
die Auftragsdatenverarbeitung gemäß 
$ 11 BDSG, schützt zwar die Interes- 
sen der Betroffenen, ist jedoch für die 
Unternehmer in der praktischen Durch- 
führung weniger angenehm, da diese 
die Beachtung enger gesetzlicher An- 
forderungen erfordert und lediglich für 
die Auslagerung von unterstützenden 
Tätigkeiten in Betracht kommen soll. 
In den folgenden Ausführungen werden 
diese beiden Outsourcing-Konzepte der 
Funktionsübertragung und der Auftrags- 
datenverarbeitung sowie ebenso eine 
vermittelnde Auffassung (Vertragstheo- 
rie) erörtert. 


Il. Merkmale der Auftragsdaten- 
verarbeitung und der Funktions- 
übertragung 


Auftragsdatenverarbeitung ist an die 
engen gesetzlichen Voraussetzungen des 
$ 11 BDSG geknüpft und wird als wei- 
sungsgebundene Tätigkeit des Auftrag- 
nehmers (Dienstleisters) verstanden. Es 
wird stets darauf verwiesen, dass bei einer 
Auftragsdatenverarbeitung der Auftrag- 
geber „Herr der Daten“ bleibt, der Auf- 
tragnehmer nur als „verlängerter Arm“ 
und „ausgelagerte Abteilung“ fungiert.” 
In diesem Sinne hat der Auftragsdaten- 
verarbeiter lediglich eine unterstützen- 
de Funktion für den Auftraggeber inne.’ 
Ein wichtiges Kriterium ist die Einglie- 
derung des Auftragsdatenverarbeiters in 
das Unternehmen der auftraggebenden 
Stelle. Beide stellen aus rechtlicher Sicht 
eine Einheit dar und der Auftragnehmer 
ist an die Vorgaben des Auftraggebers 
gebunden.* Derjenige hingegen, der in 
Funktionsübertragung tätig ist, ist selbst- 
ständig für die Rechtmäßigkeit der Da- 
tenverarbeitung und die Wahrung der 
Betroffenenrechte verantwortlich.” Er 
darf die Aufgabe, die vollständig auf ihn 
übertragen bzw. ausgelagert ist, somit ei- 
genverantwortlich durchführen und ihm 


obliegt die rechtliche Zuständigkeit.‘ Die 
Einzelheiten der Abgrenzung sind streitig 
- sogar im Hinblick auf die identische in- 
haltliche Aufgabe. Letzteres ist vornehm- 
lich von den unterschiedlichen Interessen 
abhängig, die einerseits wirtschaftlich 
und andererseits datenschutzrechtlich 
geprägt sind. So wird die Auslagerung 
der Personalverwaltung teilweise als 
Auftragsdatenverarbeitung’ und teilwei- 
se als Funktionsübertragung eingestuft.® 
Der Arbeitsbericht der ad-hoc-Arbeits- 
gruppe „Konzerninterner Datentransfer“ 
des Regierungspräsidium Darmstadt 
macht diese Streitfrage zwischen Auf- 
sichtsbehörden und Wirtschaftsvertre- 
tern besonders deutlich’: „Zwar besteht 
Einigkeit darüber, dass eine Auftragsda- 
tenverarbeitung bei Vorgabe eines aus- 
differenzierten Entscheidungsbaums zur 
Aufgabenerfüllung in Betracht kommt, 
da in diesem Falle dem Auftragnehmer 
keinerlei inhaltlicher Ermessenspielraum 
überlassen bleibt“.'° Streitig sei hingegen 
zwischen den Aufsichtsbehörden und den 
Wirtschaftsvertreten, inwieweit das Kri- 
terium der fehlenden Entscheidungsbe- 
fugnis des Dienstleisters relevant sei bzw. 
welche konkrete Bedeutung es habe.'' In 
dem Arbeitsbericht wird in diesem Zu- 
sammenhang ebenso darauf verwiesen, 
dass Vertreter der Wirtschaft die Ausle- 
gung der Auffassung der Aufsichtsbehör- 
den für zu eng hielten, die darauf abzie- 
le, dass Auftragsdatenverarbeitung dann 
ausscheiden müsse, wenn der Auftrags- 
datenverarbeiter auch nur den kleinsten 
Ermessenspielraum habe.'? Primär geht 
es also ebenso um die Frage, inwieweit 
Unternehmer sich eine Wahl- und Inter- 
pretationsfreiheit hinsichtlich Auftrags- 
datenverarbeitung und Funktionsübertra- 
gung herausnehmen. 


IIl.Vergleich der Anforderungen 


1. Auftragsdatenverarbeitung 
Die Möglichkeit, Daten im Auftrag 
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verarbeiten zu lassen, ist -wie oben dar- 
gestellt- an enge gesetzliche Vorgaben 
geknüpft. Der Begründung zum Gesetz- 
entwurf der Bundesregierung lässt sich 
entnehmen, dass $ 11 BDSG im Zuge 
der BDSG-Novelle II 2009 aus dem 
Grunde konkreter gefasst worden ist, da 
den nicht-öffentlichen Stellen oftmals 
nicht bekannt war, welche technischen 
und organisatorischen Maßnahmen von 
ihnen verlangt werden: Verträge zur 
Auftragsdatenverarbeitung wurden ent- 
weder nicht im Sinne des $ 11 BDSG 
oder nicht schriftlich verfasst und eben- 
so selten Regelungen zur Löschung der 
Daten bzw. deren Rückgabe nach Erle- 
digung des Auftrages getroffen.'* Dem- 
entsprechend wurde die Möglichkeit ei- 
ner Bußgeldahndung begrüßt, die nun in 
$ 43 Abs. 1 Nr. 2b BDSG geregelt ist.'° 
Auch die gesetzliche Verpflichtung zur 
Dokumentation des Kontrollergebnisses 
seitens der Auftraggeber stellt insgesamt 
einen wichtigen Faktor dar, da sich die- 
ser ansonsten „nur in sehr zurückhalten- 
der Weise von der Ordnungsmäßigkeit 
der Geschäftstätigkeit des Vertragspart- 
ners überzeugen“ werde. '‘ 


2.Funktionsübertragung 

Die Funktionsübertragung findet kei- 
ne ausdrückliche gesetzliche Grundlage. 
Ihre Rechtfertigung wird regelmäßig 
aus $ 28 Abs. 1S. 1 Nr. 2 BDSG herge- 
leitet.'” Gemäß dieser Regelung ist eine 
Datenübermittlung zulässig, d.h. eine 
Weitergabe von personenbezogenen 
Daten an Dritte gemäß $ 3 Abs. 4 Nr. 3 
BDSG, „soweit es zur Wahrung berech- 
tigter Interessen der verantwortlichen 
Stelle erforderlich ist und kein Grund zu 
der Annahme besteht, dass das schutz- 
würdige Interesse des Betroffenen an 
dem Ausschluss der Verarbeitung oder 
Nutzung überwiegt.“ 

Aus datenschutzrechtlicher Sicht sind 
vornehmlich zwei Fragestellungen zu 
beantworten: 

Erstens: Warum sollte $ 28 Abs. 1S. 1 
Nr. 2 BDSG anwendbar sein? 

Zweitens: Werden die schutzwürdigen 
Interessen der Betroffenen ausreichend 
berücksichtigt? 


a. Anwendbarkeit von $ 28 Abs. 1 
S.1 Nr. 2 BDSG? 

Diesbezüglich ist zunächst streitig, ob 
die Alternative des $ 28 Abs. 1 S. I Nr. 
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1 BDSG im Vordergrund steht und die 
ergänzenden Tatbestände Nr. 2 und Nr. 3 
lediglich außerhalb von Schuldverhält- 
nissen als Auffangklauseln zur Anwen- 
dung gelangen können.'* Damit wäre 
die Frage der Zulässigkeit sehr zügig zu 
beantworten, da in den wenigsten Fäl- 
len eine Funktionsübertragung im Sinne 
von $ 28 Abs. 1 S. 1 Nr. 1 BDSG tat- 
sächlich erforderlich wäre.'” Aber selbst 
die juristische Auffassung, die eine 
Wahlfreiheit zwischen den Alternativen 
des $ 28 Abs. 1 BDSG unterstellt, ver- 
weist darauf, dass die verantwortliche 
Stelle den Anknüpfungspunkt weder 
beliebig auswählen noch kumulativ auf 
die Zulässigkeitsgründe zurückgreifen 
könne.” Es sei eine restriktive Ausle- 
gung im Sinne einer nur ausnahmsweise 
zulässigen Verarbeitung geboten.” Mit 
dieser einschränkenden Betrachtung 
ist ebenso verbunden, dass innerhalb 
der verantwortlichen Stelle nicht je- 
dermann auf die Daten zugreifen oder 
diese frei verwenden darf.” Bei konse- 
quenter Anwendung müsste auch diese 
zweite Ansicht aus Gründen des „erst- 
recht-Schlusses“ zu einer Ablehnung 
der Funktionsübertragung anhand des 
8 28 Abs. 1 S.1 Nr. 2 BDSG kommen, 
welche sie jedoch insgesamt für zuläs- 
sig erachtet:” Wenn die Daten schon 
innerhalb der verantwortlichen Stelle 
nicht uneingeschränkten Nutzungsrech- 
ten unterliegen, dürften die Daten „erst 
recht“ nicht uneingeschränkt an Dritte 
gelangen. Dies führt zu der Frage, ob 
die personenbezogenen Daten tatsäch- 
lich die verantwortliche Stelle veranlas- 
sen dürfen ohne die Schutzmaßnahmen 
des $ 9 BDSG kontrolliert und doku- 
mentiert sicherzustellen, vor allem mit 
der grundsätzlichen Möglichkeit einer 
Zweckänderung durch die Dritten?” 
Die Regelung des $ 28 Abs. 1 S. I Nr. 2 
BDSG enthält dazu (anders als die Auf- 
tragsdatenverarbeitung) keine konkreten 
Anforderungen, sondern überlässt auch 
dies der Einschätzung des Unterneh- 
mers. Die schutzwürdigen Interessen 
der Betroffenen sind gerade nicht und 
unter Bußgeldandrohung unabdingbar 
mit einer schriftlichen Dokumentations- 
und Kontrollpflicht des Unternehmers 
verknüpft. Zudem: Wenn der Grundsatz 
der restriktiven und nur ausnahmswei- 
se zulässigen Datenverarbeitung ernst 
genommen wird, müsste sich jeder Un- 


ternehmer stets zuerst die Frage stellen, 
ob ein Outsourcing tatsächlich zur Ver- 
tragsdurchführung erforderlich ist oder 
ob die Datenverarbeitung nicht eben- 
so intern stattfinden könnte. Eine sol- 
che Erforderlichkeit im Sinne des $ 28 
Abs. 18. 1 Nr. 1 BDSG lässt sich beim 
Outsourcing von Daten allenfalls unter- 
stellen, wenn die Daten konzernintern 
verarbeitet werden müssen, aber nicht 
für eine herkömmliche Unternehmer-/ 
Kundenbeziehung. Hier ist eine externe 
Datenverarbeitung gemäß $ 28 Abs. 1 
S. 1 Nr. 1 BDSG nicht notwendig und 
eine kumulative Anwendung des $ 28 
Abs. 1S. 1 Nr. 2 BDSG wäre (auch im 
Sinne der oben zitierten Meinung) einer 
kritischen Überprüfung zu unterziehen: 
Jedwede nur ausnahmsweise zulässige 
Datenverarbeitung erfordert besonde- 
re Prüfpflichten! Daher kann durchaus 
die Forderung aufgestellt werden, dass 
einem Unternehmer Funktionsübertra- 
gung dann verwehrt sein muss, wenn 
anhand objektiv zu bemessender Krite- 
rien nicht feststellbar ist, dass ihm die 
eigenverantwortliche  Datenverarbei- 
tung — beispielsweise im Wege einer 
Auftragsdatenverarbeitung — unmöglich 
ist. Allein der Umstand eines kosten- 
günstigeren Angebots genügt den An- 
forderungen des $ 28 BDSG allerdings 
nicht.* Wenn außerdem vertreten wird, 
dass der Weg über $ 28 Abs. 1 S. I Nr. 
2 BDSG der verantwortlichen Stelle so 
lange versperrt bleiben muss, wie diese 
ihr Informationsziel anders erreichen 
kann,?’ muss eine solche Einschränkung 
ebenso für das „Wie“ der Datenverar- 
beitung gelten.”® Letztendlich spielen 
bei diesem Punkt die im nachfolgenden 
behandelten schutzwürdigen Interessen 
des Betroffenen eine maßgebliche Rol- 
le. Diese sind jedoch aufgrund der man- 
gelnden gesetzlichen Vorgaben im Rah- 
men von $ 28 Abs. 1 S. 1 Nr. 2 BDSG 
einer gewissen Beliebigkeit ausgesetzt. 


b. Schutzwürdige Interessen 
der Betroffenen 

Nachteilig an der Regelung des $ 28 
Abs. 1 S. 1 Nr. 2 BDSG ist insgesamt, 
dass der Gesetzgeber weder die „berech- 
tigten Interessen“, die „schutzwürdigen 
Interessen“ noch die Anforderungen an 
die Abwägung zwischen diesen wider- 
streitenden Interessen definiert hat.” 
Unternehmen, welche die personenbe- 
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zogenen Daten ihrer Kunden oder Mit- 
arbeiter outsourcen, können die wirt- 
schaftliche Effizienz und ungehinderte 
Ausgestaltung ihrer Geschäftsprozesse 
prinzipiell höher ansiedeln als die Inte- 
ressen der Betroffenen, da eine summa- 
rische Prüfung der jeweiligen Interessen 
durch den Unternehmer als ausreichend 
angesehen wird.’ Aber müssen die Be- 
troffenen nicht umgekehrt darauf ver- 
trauen dürfen, dass ihre persönlichen 
Daten in der rechtlichen Verantwortung 
des konkreten Unternehmens — ihrem 
jeweiligen Vertragspartner — verblei- 
ben? An dieser Stelle kann die Abwä- 
gung folglich ebenso ergeben, dass die 
schutzwürdigen Belange der Betroffe- 
nen einer Funktionsübertragung, näm- 
lich der Weitergabe ihrer Daten an für 
Sie unbekannte Dritte grundsätzlich 
immer entgegenstehen.°' Für diesen Fall 
ist entweder eine Einwilligung der Be- 
troffenen gemäß $ 4a BDSG oder die 
Auftragsdatenverarbeitung gemäß $ 11 
BDSG vorgesehen — wobei letztere eine 
Datenweitergabe lediglich unter der Vo- 
raussetzung zulässt, dass der (für die Be- 
troffenen unbekannte) Empfänger wei- 
sungsgebunden ist und kontrolliert wird. 
Der Schutz des Persönlichkeitsrechts 
erfordert hier eine restriktive Betrach- 
tung, vor allem wegen der weitreichen- 
den Möglichkeiten der Zweckänderung 
gemäß $ 28 Abs. 2 Nr. 1 BDSG sowie $ 
28 Abs. 5 BDSG. Diese führen zu dem 
untragbaren Ergebnis, dass der Dritte 
die personenbezogenen Daten gleicher- 
maßen für seine eigenen und vor allem 
anderen Zwecke verarbeiten und nutzen 
könnte.” Der Verarbeitungsspielraum 
ist letztendlich identisch mit dem des 
Unternehmers, der die Daten übermit- 
telt hat.” Bewertungsmaßstab für die 
weitere Verarbeitung durch den Unter- 
nehmer, der die Daten erhalten hat, ist 
allein dessen Einschätzung, ob schutz- 
würdige Interessen der Betroffenen an 
dem Ausschluss der Verarbeitung oder 
Nutzung überwiegen könnten. Es wäre 
ihm unter anderem nicht verwehrt, die 
empfangenen Daten einer weiteren Stel- 
le zu übermitteln. Die Intransparenz für 
die Betroffenen ist offensichtlich und 
nicht hinnehmbar. Unterstellt man dem 
Gesetzgeber an dieser Stelle kein achtlo- 
ses Vorgehen hinsichtlich der Wahrung 
des Persönlichkeitsschutzes, drängt sich 
zumindest der Verdacht auf, dass er sol- 
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che verwirrenden und überflüssigen Re- 
gelungen bewusst in Kauf genommen 
hat. So hätte der Sachverhalt der Funk- 
tionsübertragung, der bereits seit gerau- 
mer Zeit Anlass zu Diskussionen bie- 
tet, bei der letzten Reform zum BDSG 
geregelt werden können. Zur Wahrung 
des Persönlichkeitsschutzes der Be- 
troffenen könnten die Unternehmer im 
Rahmen der Funktionsübertragung eine 
Zweckänderung zwar vertraglich aus- 
schließen — ob sie dies tun, ist aber eine 
andere Frage, da eine gesetzliche Ver- 
pflichtung hierzu nicht vorhanden ist. 
Für die Funktionsübertragung gibt es 
durchgängig -angefangen beim Schrift- 
formerfordernis und der geforderten Do- 
kumentation der Prüfung- keine gesetz- 
lichen Regelungen, die die Interessen 
der Betroffenen schützen. Ergänzend sei 
angemerkt, dass die Auftragsdatenverar- 
beitung auch einer Zulässigkeitsprüfung 
anhand des $ 28 Abs. 1S. 1 Nr. 2 BDSG 
standhalten würde. Der Sache nach ent- 
scheidet vor allem die Neufassung des $ 
11 BDSG, dass die schutzwürdigen In- 
teressen der Betroffenen berücksichtigt 
werden. Diese Konstruktion ist einer in- 
ternen Datenverarbeitung durch (eben- 
falls weisungsgebundene) Mitarbeiter 
vergleichbar, die keine Zweckänderung 
erlaubt. 


3. Vertragsfreiheit 

Eine vermittelnde Meinung beruft 
sich wegen der letztgenannten Gründe 
auf die sogenannte Vertragstheorie. Da- 
nach soll $ 11 BDSG insoweit extensiv 
ausgelegt werden, dass jede denkbare 
Fallgestaltung mittels eines Auftragsda- 
tenverarbeitungsvertrages geregelt wer- 
den kann, da in diesem Falle sicherge- 
stellt sei, dass sämtliche gesetzlich ge- 
forderten Voraussetzungen eingehalten 
werden.” So könnte beispielsweise die 
Personaldatenverwaltung vollständig 
an ein anderes Unternehmen ausgela- 
gert werden, wenn sämtliche Vorausset- 
zungen des $ 11 BDSG erfüllt werden 
und die Verantwortung der auslagerten 
Stelle bestehen bliebe. Diese Auffas- 
sung scheint auf den ersten Blick eine 
angemessene Alternative darzustellen, 
sofern dem Auftraggeber umfassende 
Weisungsbefugnisse verbleiben und er 
in sämtliche Entscheidungsbefugnisse 
eingebunden ist. In diesem Fall könnte 
tatsächlich überlegt werden, auf das für 


die Auftragsdatenverarbeitung geforder- 
te einschränkende Kriterium der bloßen 
„Hilfsfunktion“ zu verzichten.°° Es muss 
allerdings berücksichtigt werden, dass 
nicht nur der geschriebene Vertrag die 
Rechte der Betroffenen wahrt, sondern 
vor allem die praktische Durchführung 
des Vertrages. Eine Auftragsdatenverar- 
beitung soll insgesamt nur in Betracht 
kommen, wenn der Auftraggeber auch 
tatsächlich in der Lage ist, dem Auf- 
traggeber jeden Arbeitsschritt vorzu- 
schreiben.” Gerade diese Anforderung 
erscheint jedoch etwa bei Auslagerung 
der Personaldatenverwaltung ‚, Boni- 
tätsbewertungen oder Buchhaltung aus 
praktischen Gründen fraglich.’” Dies 
zeigen etwa die eingangs dargestellte 
Diskussion um die rechtliche Einord- 
nung der Personaldatenverwaltung und 
die umstrittene Frage, inwieweit es sich 
bei den Bereichen des Werkschutzes 
oder der Detektivarbeit um Auftrags- 
datenverarbeitung handelt: Liegt es 
insbesondere bei Detektivarbeit nicht 
außerhalb der Lebenserfahrung, dass 
sämtliche Überwachungsschritte exakt 
vorgegeben werden?’® Weiterhin muss 
kritisch hinterfragt werden, ob durch 
diese Ausgestaltung eines Auftrags- 
datenverarbeitungsvertrag „Verwer- 
tungsgrenzen“ umgangen werden.” 
Die Grenze ist in diesem Falle erreicht, 
wenn eine Auftragsdatenverarbeitung 
keine tatsächliche Weisungsbefugnis 
enthält, sondern nur auf dem Papier be- 
steht. Problematisch ist in dem gesam- 
ten Kontext, dass Wirtschaftsvertreter 
im Arbeitsbericht „konzerninterner 
Datenverkehr“ die Auffassung vertre- 
ten, dass einerseits das Kriterium der 
Entscheidungsbefugnis im Rahmen der 
Auftragsdatenverarbeitung nicht zu eng 
bewertet werden dürfte und andererseits 
eine vertragliche Verantwortungsüber- 
nahme für nicht gerechtfertigt halten. 
Der Begründung lässt sich entnehmen, 
dass die Wirtschaftsvertreter insgesamt 
für einen größeren Gestaltungsspiel- 
raum bei der Auftragsdatenverarbeitung 
plädieren mit dem Verweis darauf, dass 
bei einer Funktionsübertragung sogar 
eine Zweckänderung der Datennutzung 
erlaubt sei- daher seien die Rechte der 
Betroffenen bei Annahme einer Auf- 
tragsdatenverarbeitung umfassender 
geschützt.*' Diese Ausführungen impli- 
zieren, dass die Wirtschaftsvertreter den 
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Aufsichtsbehörden nahe legen, einen 
eigenen Ermessenspielraum bei Auf- 
tragsdatenverarbeitung zu akzeptieren, 
da sie ansonsten bei den zu regelnden 
Sachverhalten weiterhin von Funktions- 
übertragung mit (grundsätzlich) erlaub- 
ter Zweckänderung der Datennutzung 
ausgehen.” 


IV.Fazit 


Die obigen Ausführungen zeigen, dass 
bei den rechtlichen Möglichkeiten der 
Funktionsübertragung vieles ungeklärt 
ist und eine enorme Gefährdung für den 
Persönlichkeitsschutz der Betroffenen 
beinhalten. Informationelle Selbstbe- 
stimmung muss jedoch bedeuten, dass 
die Betroffenen sicher sein können, dass 
derjenige, dem sie ihre Daten anvertraut 
haben, die verantwortliche Stelle bleibt 
und ihre Daten ebensowenig einer un- 
durchsichtigen Zweckänderung durch 
Dritte unterliegen. Nur auf diese Weise 
können die Betroffenen über die Preis- 
gabe und Verwendung ihrer Daten selbst 
bestimmen. Anderenfalls wäre die Ver- 
fügungsbefugnis über die eigenen Daten 
in das Ermessen eines Dritten gelegt, der 
aufgrund seiner wirtschaftlichen Belan- 
ge nicht in der Lage ist, über die schutz- 
würdigen Interessen der Betroffenen 
objektiv zu entscheiden. Hierfür fehlen 
konkrete Vorgaben bezüglich der Daten- 
weitergabe an Dritte, insbesondere der 
gesetzliche Ausschluss der Zweckände- 
rung bei einer Funktionsübertragung. Zu 
berücksichtigen ist insgesamt, dass sich 
der Gesetzgeber aufgrund der Konkre- 
tisierung sowie der Bußgeldandrohung 
letztendlich ebenso zur Verschärfung 
des $ 11 BDSG entschlossen hat. Das 
gesetzgeberische Ziel, durch Kont- 
roll- und Dokumentationspflichten, den 
datenschutzgerechten Umgang mit per- 
sonenbezogenen Daten sicherzustellen, 
wird nun völlig konterkariert, wenn sich 
die Zulässigkeit der Datenübermittlung 
und Zweckänderung allein anhand ei- 
ner „summarischen Prüfung“ durch die 
Unternehmer dahingehend bemisst, ob 
schutzwürdige Interessen des Betroffe- 
nen verletzt sein könnten.” Denn vor- 
nehmlich muss sich die Frage stellen, 
unter welchen Voraussetzungen die 
schutzwürdigen Interessen des Betroffe- 
nen nicht verletzt sind. Dies kann im Sin- 
ne der Gesetzesintention nur dergestalt 
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ausgelegt werden, dass die Mindestan- 
forderungen des $ 11 BDSG eingehalten 
werden: Die Weitergabe von Daten darf 
nur in schriftlicher Form erfolgen, der 
Unternehmer muss sich von der sorg- 
fältigen Arbeitsweise des anderen Da- 
tenverarbeiters überzeugen, er darf nicht 
aus der Haftung entlassen werden und 
die einzelnen Maßnahmen, insbeson- 
dere technischer und organisatorischer 
Natur müssen nachprüfbar fixiert wer- 
den. In der Praxis enthalten Auftrags- 
datenverarbeitungsverträge häufig eine 
zusätzliche Vertragsstraferegelung ein- 
gebaut, um die Wichtigkeit der Betrof- 
fenenrechte nochmals zu untermauern. 
Bei der Funktionsübertragung sind sol- 
che Kriterien per Gesetz nicht gefordert. 
Unter Berücksichtigung dessen, dass 
mit der Weitergabe von Daten an Dritte 
(= Übermittlung gemäß $ 3 Abs. 4 Nr. 3 
BDSG) das Persönlichkeitsrecht stärker 
betroffen ist als wenn die Daten einem 
weisungsgebundenen Auftragnehmer 
überlassen werden, ist die Funktions- 
übertragung äußerst bedenklich: Wäh- 
rend die „Hilfsfunktion“ der Datenver- 
arbeitung nur unter engen gesetzlichen 
Voraussetzungen zugelassen wird, wer- 
den darüber hinaus gehende Tätigkeiten 
lediglich an dem vagen Merkmal der 
schutzwürdigen Interessen gemessen. 
Wie oben bereits ausgeführt, hat der 
Gesetzgeber die Funktionsübertragung 
im Rahmen der letzten BDSG-Reform 
nicht geregelt und die weite Auslegung 
der Übermittlungstatbestände in Kauf 
genommen. So wäre es beispielsweise 
möglich gewesen - wie im Modernisie- 
rungsgutachten vorgeschlagen - zumin- 
dest eine Information der Betroffenen 
mit Widerspruchsmöglichkeit aufzuneh- 
men.” Demgegenüber hat der Gesetzge- 
ber die Anforderungen an die Auftrags- 
datenverarbeitung verschärft. Dieser 
Widerspruch ist bizarr: Eine durch voll- 
ständige Aufgabe der Weisungs- und 
Kontrollmöglichkeiten sowie Zweckän- 
derungsgefahr bedingte eingriffsintensi- 
vere Datenverarbeitung wird durch eine 
unbestimmte Regelung wie $ 28 Abs. 1 
S. 1 Nr. 2 BDSG legitimiert während die 
bereits vor der Reform reglementierte 
und das Persönlichkeitsrecht bewah- 
rende Auftragsdatenverarbeitung weiter 
eingeschränkt wird. Über das Ansinnen 
des Gesetzgebers können nur Mutma- 
Bungen angestellt werden. 


Die vermittelnde Meinung (,Vertrags- 
theorie‘) hat zwar den Vorteil, dass die 
Schwächen der Funktionsübertragung 
insoweit ausgeglichen werden, dass der 
Auftraggeber für die Datenverarbeitung 
des Auftragnehmers verantwortlich 
bleibt und sämtliche Regelungen des $ 
11 BDSG -bei Übertragung einer ge- 
samten Aufgabe- eingehalten und kont- 
rolliert werden müssen. Auf der anderen 
Seite muss allerdings bedacht werden, 
dass sich der bei Vertragsabschluss und 
während der Vertragsdurchführung an- 
gelegte Maßstab ausschließlich auf die 
tatsächliche Ausführung des Vertra- 
ges beziehen kann. Ein Unternehmer 
müsste sich kritisch fragen, ob er dem 
Dienstleister sämtliche Arbeitsschritte 
derart detailliert vorgeben kann, dass 
seine Entscheidungsbefugnis unange- 
tastet und unmissverständlich ist. Diese 
Vorgehensweise wird freilich von dem 
Manko begleitet, dass abermals allein 
die Einschätzung des Unternehmers 
entscheidend sein soll — ohne objekti- 
ven Bewertungsmaßstab oder Einfluss- 
möglichkeit der Betroffenen. Besonders 
kritisch zu betrachten sind ferner die 
Tendenzen, die auf das Merkmal der 
Weisungsbefugnis in einem Auftrags- 
datenverarbeitungsvertrag verzichten 
wollen.*° Damit würde ein wichtiges 
gesetzliches Kriterium des $ 11 BDSG 
entfallen, welches gerade sicherstellt, 
dass dessen Anforderungen eingehalten 
und die Daten im Sinne des Auftragge- 
bers verarbeitet werden. Die Auftrags- 
datenverarbeitung wäre außerdem aus- 
nahmslos ad absurdum geführt, wenn 
das Kriterium der fehlenden Entschei- 
dungsmacht zu erleichterten Bedingun- 
gen beim Outsourcing führen soll. Der 
Unternehmer müsste seinem Partner 
also lediglich mehr Spielraum bei der 
Verarbeitung einräumen, um seine Do- 
kumentations- und Kontrollpflichten 
zu umgehen? Falls nun das Argument 
angeführt werden sollte, es sei ja klar, 
dass in diesem Falle das schutzwürdige 
Interessen des Betroffenen überwiegt, 
kann man entgegenhalten, dass dann 
auch nichts dagegen einzuwenden ist, 
dies transparent und ausdrücklich ge- 
setzlich zu fixieren. Die momentane 
verwirrende Gesetzeslage lässt eine viel 
zu große Spanne für Interpretationen. 
Eine Interessenabwägung, die sich an 
dem im erhöhten Maße schutzwürdigen 
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Belangen der Betroffenen misst,’ wird 
letztendlich nur durch klare gesetzliche 
Regelungen zu bewerkstelligen sein und 
nicht durch Einschätzungen seitens der 
Unternehmer. Dies zeigt sich bereits 
daran, dass der Gesetzgeber sogar be- 
züglich der Auftragsdatenverarbeitung 
darauf hingewiesen hat, dass in der Pra- 
xis ohne entsprechende gesetzliche Ver- 
pflichtung regelmäßig keine Kontrolle 
stattfindet.’ 


1 Siehe Gabel in: Taeger/Gabel, $ 11 
BDSG Rn. 16 bezüglich einer gesetzlich 
vorgegebenen Möglichkeit, in unkom- 
plizierter Weise an den Vorteilen einer 
arbeitsteiligen Wirtschaft teilzuhaben. 


2 Gola/Schomerus, 10. Auflage, 
$ 11 BDSG Rın. 3. 


3 Zur „Hilfsfunktion“ siehe Gabel 
in: Taeger/Gabel, $ 11 BDSG 
Rn. 14; Petri in: Simitis ‚7. 
Auflage, $ 11 BDSG Rn. 22. 


4 Zur “rechtlichen Einheit” 
siehe Gola/Schomerus, 10. 
Auflage $11 BDSG Rn. 4. 


5 Siehe zu den Betroffenenrechten Petri in: 
Simitis, 7. Auflage, $ 11 BDSG Rn. 23. 


6 Gola/Schomerus, 10. Auflage, 
$ 11 BDSG Rn. 9. 


7 Gabel in: Taeger/Gabel; $ 11 
BDSG Rn. 23 mit Verweis auf die 
Möglichkeit einer weiten Auslegung 
der Auftragsdatenverarbeitung. 


8 Petri in: Simitis, 7. Auflage, $ 11 BDSG 
Rn. 37 mit Verweis auf die Praxis, in 
der es eher unwahrscheinlich sei, dass 
innerhalb von Konzernstrukturen der 
Auftraggeber die volle Verantwortung 
für Personalentscheidungen und 
Personaldatenverarbeitung behal- 
te; siehe zum Ganzen auch Gola/ 
Schomerus, 10. Auflage $ 11 BDSG 
Rn. 9 und Gola, Handbuch zum 
Arbeitnehmerdatenschutz, Rn. 992. 


9 Dieser Arbeitsbericht behandelt aus- 
schließlich den konzerninternen 
Datentransfer und protokolliert die 
Auffassungen des Regierungspräsidium 
Darmstadt und Wirtschaftsvertretern 
zum Thema „Funktionsübertragung 
im Konzern“; abrufbar unter htt- 
ps://www.ldi.nrw.de/mainmenu_ 
Datenschutz/submenu_Datenschutzrecht/ 
Inhalt/Personalwesen/Inhalt/5__ 
Beschaeftigtendatenschutz_Konzern/ 
arbeitspapier ad_hoc_idv.pdf 


10 Arbeitsbericht „konzerninter- 
ner Datenverkehr“, S. 3. 


11 Arbeitsbericht „konzerninter- 
ner Datenverkehr“, S. 3/4. 


32 


12 Arbeitsbericht „konzerninter- 
ner Datenverkehr“, S. 4. 


13 BT-Drs. 16/12011, S. 40. 
14 BT-Drs. 16/12011, S. 40. 
15 BT-Drs. 16/12011, S. 40. 
16 BT-Drs. 16/12011, S. 40. 


17 Arbeitsbericht „konzerninterner 
Datenverkehr“, S. 7 ff.; Gabel in: 
Taeger/Gabel, $ 11 BDSG Rn. 14, 
der darauf verweist, dass die allge- 
meinen Regelungen zur Erhebung, 
Verarbeitung und Nutzung von per- 
sonenbezogenen Daten gelten; 
Weichert, DuD 2010, S. 683. 


18 Wedde in: Däubler/Klebe/Wedde/ 
Weichert, 3. Auflage, $ 28 BDSG Rn. 14. 


19 Siehe hierzu die nachfolgen- 
den Ausführungen unter IIl.2a. 


20 Simitis in: Simitis, 7. Auflage, 
$ 28 BDSG Rn. 53, 54. 


21 Simitis in: Simitis, 7. Auflage, 
$ 28 BDSG Rn. 55. 


22 Siehe hierzu auch Simitis in: Simitis, 
7. Auflage, $ 28 BDSG Rın. 82, der 
auf die Unzulässigkeit einer „frei- 
en Zirkulation“ Bezug nimmt. 


23 Simitis in: Simitis, 7. Auflage, 
$ 28 BDSG Rn. 101. 


24 Siehe zur Zweckänderung: Arbeitsbericht 
„konzerninterner Datenverkehr“, 
S. 9 und in diesem Beitrag die nach- 
folgenden Ausführungen unter III.2b. 


25 Siehe hierzu Arbeitsbericht „kon- 
zerninterner Datenverkehr“, S. 6 mit 
Verweis auf die Zweckbestimmung 
und Erforderlichkeit, wenn der 
Arbeitsvertrag ein Tätigwerden 
des Arbeitnehmers auch in ande- 
ren Konzernunternehmen vorsieht. 


26 Siehe hierzu auch Weichert, 
DuD 2010, S. 683. 


27 Simitis in: Simitis, 7. Auflage, 
$ 28 BDSG Rn. 108. 


28 Als Denkanstoß kann in diesem Falle 
ebenso angeführt werden, dass die Frage 
„Muss dies sein?“ nicht ungewöhn- 
lich ist und beispielsweise ebenso un- 
ter Datensicherheitsaspekten hinsicht- 
lich der Verarbeitung personenbezogener 
Daten auf Notebooks (und zwar inner- 
halb der verantwortlichen Stelle!) von 
dem Landesdatenschutzbeauftragten 
von Bremen gestellt wird: Siehe 
hierzu die Ausführungen in Gola/ 
Schomerus, 10. Auflage, $ 9 BDSG 
Rn. 17 mit Verweis auf den 15. TB 
des Landesdatenschutzbeauftragten 
Bremen: „Eine Verarbeitung von per- 
sonenbezogenen Daten auf tragba- 
ren PCs darf nur erfolgen, wo dies auf- 


grund der Aufgaben unvermeidbar ist“. 


29 Siehe zur Unbestimmtheit un- 
ter anderem Taeger in: Taeger/ 
Gabel, $ 28 BDSG Rn. 2. 


30 Simitis in: Simitis, 7. Auflage, 
$ 28 BDSG Rn. 129. 


31 Siehe zum konzerninternen 
Datenaustausch und der Auffassung 
der Aufsichtsbehörden: Arbeitsbericht 
„konzerninterner Datenverkehr“, S. 8. 


32 Gemäß $ 28 Abs. 2 Nr. 1 BDSG ist eine 
Übermittlung und Nutzung und gemäß 
$ 28 Abs. 5 BDSG eine Verarbeitung 
und Nutzung für andere Zwecke zu- 
lässig, soweit es zur Wahrung berech- 
tigter Interessen erforderlich ist und 
kein Grund zu der Annahme besteht, 
dass das schutzwürdige Interesse des 
Betroffenen an dem Ausschluss der 
Verarbeitung oder Nutzung überwiegt. 


33 Siehe auch Wedde in: Däubler/ 
Klebe/Wedde/Weichert, 3. 
Auflage, $ 28 BDSG Rn. 162. 


34 Gabel in: Taeger/Gabel, $ 11 BDSG Rn. 
15. Siehe auch Weichert, DuD 2010, S. 
683, der darauf verweist, dass schutz- 
würdige Interessen durch Maßnahmen 
gewährleistet werden können, die 
in $ 11 BDSG vorgesehen sind. 


35 Siehe zum Merkmal der “Hilfsfunktion” 
eines Dienstleisters, der Daten im 
Auftrag gemäß $ 11 BDSG verar- 
beitet: Gabel in: Taeger/Gabel, $ 11 
BDSG Rın. 14 sowie Petri in: Simitis, 

7. Auflage, $ 11 BDSG Rn. 22. 


36 Petri in: Simitis, 7. Auflage, $ 
11 BDSG Rn. 20 mwN. 


37 Siehe zu diesen „Outsourcing- 
Sachverhalten“ Petri in: Simitis, 7. 
Auflage, $ 11 BDSG Rn. 25 ff. 


38 Siehe hierzu Gabel in: Taeger/Gabel, $ 
11 BDSG Rn. 20, der bei Detektivarbeit 
von Funktionsübertragung ausgeht, 
wenn der Detektiv selbst bestimmt, 
wie er den Auftrag ausführt und wel- 
che Mittel er einsetzt - mit Verweis 
auf den Bericht des Innenministeriums 
von Baden-Württemberg über die 
Tätigkeit der Aufsichtsbehörde für 
den Datenschutz im nicht-Öffentlichen 
Bereich. Gola hingegen (Handbuch 
zum Arbeitnehmerdatenschutz, 5. 
Auflage, Rn. 993) verweist darauf, 
dass sowohl Auftragsdatenverarbeitung 
und Funktionsübertragung in 
Betracht komme; Petri in: Simitis, 

7. Auflage, $ 11 BDSG Rn. 41 geht 
wiederum davon aus, dass regel- 
mäßig eine Funktionsübertragung 
in Betracht kommt. 


39 Simitis in: Simitis, 7. Auflage, $ 
28 BDSG Rn. 140 verweist auf die 
Unzulässigkeit, Verwertungsgrenzen 
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und Übermittlungsschranken 
unter Zuhilfenahme einer 
Auftragsdatenverarbeitung zu umgehen. 


40 S. 4 und 9 des Arbeitsberichts „‚kon- 
zerninterner Datenverkehr“. 


41 Arbeitsbericht „konzerninter- 
ner Datenverkehr“, aaO. 


42 Arbeitsbericht „konzerninter- 
ner Datenverkehr“, S. 9: „Bei ei- 
ner Funktionsübertragung sei näm- 
lich zu berücksichtigen, dass der 
Funktionsübernehmer als verant- 
wortliche Stelle einen umfassende- 


Thilo Weichert 


ren Spielraum bei der Nutzung der 
Daten erhalte (z.B. sie im Rahmen 
von $ 28 Abs. 2, 3 BDSG für ande- 
re Zwecke nutzen könne), so dass die 
Rechte der Betroffenen bei Annahme 
einer Auftragsdatenverarbeitung ggf. 
umfassender geschützt seien als bei 
Annahme einer Funktionsübertragung 
(bzw. es bedürfe nicht besonde- 

rer vertraglicher Regelungen, um die 
Zweckänderung auszuschließen).“ 


43 Zur summarischen Prüfung sie- 
he Simitis in: Simitis, 7. Auflage, 
$ 28 BDSG Rn. 129. 


44 Gutachten im Auftrag des 
Bundesministeriums des Innern zur 
Modernisierung des Datenschutzrechts 
(Roßnagel, Pfitzmann, Garstka), S. 125. 


45 Siehe oben unter 111.3. 


46 Siehe hierzu Wedde in: Däubler/ 
Klebe/Wedde/Weichert, 3. 
Auflage, $ 28 BDSG Rn. 162. 


47 Siehe oben unter II.1 und BT- 
Drs. 16/12011, S. 40. 


Google Glass, IT-Brillen und informationelle 
Selbstbestimmung 


April 2013 stellte Robert Scoble, US- 
amerikanischer Technik-Blogger, frühe- 
rer Microsoft-Angestellter und nun Wer- 
beträger für Google, im Kongress-Zent- 
rum am Alexanderplatz in Berlin auf der 
Technologiemesse Next „Google Glass“ 
in Deutschland vor: „Sie hat mein Leben 
verändert. Ich werde keinen Tag mehr 
verbringen, ohne sie zu tragen“. 

Bei Google Glass handelt es sich um 
eine Art Brille ohne Gläser, an der am 
schmalen Bügel ein Quader, eine Art 
Prisma, angebracht ist. Google Glass 
bietet viele Funktionen, die komplexe 
Smartphones bieten. Statt eines Displays 
gibt es einen direkt am Auge angebrach- 
ten Minibildschirm. Scobles Brille war 
die 107. von zweitausend 1.500 Dollar 
kostenden Prototypen, die insbesonde- 
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re für Werbe- und Erprobungszwecke 
ausgeliefert wurden. Der Miniprojektor 
vermittelt das Gefühl, im rechten oberen 
Blickfeld einen ca. 20 Zentimeter gro- 
ßen Bildschirm zu sehen. Zur Bildqua- 
lität gibt Google an, sie sei genauso gut, 
als würde man in 2,4 Meter Entfernung 
(8 Fuß) vor einem 63 Zentimeter (8 Zoll) 
großen HD-Schirm stehen. Die Brille 
reagiert auf Sprache und Kopfbewegun- 
gen. Künftig soll das Produkt auch mit 
Augenbewegungen gesteuert werden 
können. Geht eine E-Mail ein, so wird 
diese am Bildschirm angezeigt. Mit ei- 
ner integrierten 5-Megapixel-Kamera 
lassen sich Fotos und Videos erstellen. 
Bei Videos gibt es eine Auflösung von 
720p, was der kleinsten HD-Auflösung 
entspricht. Der Flash-Speicher soll 16 


Gigabyte groß sein; 12 Gigabyte davon 
stehen den Nutzenden zur Verfügung. 
Über ein Mikrophon sind Sprachein- 
gaben und Tonaufnahmen möglich; 
das Starten erfolgt durch die Eingabe 
„Okay, Glass“. Tonausgaben erfolgen 
nicht über Lautsprecher, sondern vom 
Bügel direkt auf den Schädelknochen 
— ein Verfahren, was bisher bei Hörge- 
räten verwendet wird. Glass hat umfas- 
senden Zugang zum Internet, zwecks 
Hoch- und Runterladen von Texten, 
Dokumenten, Bildern und akustischen 
Samples, zwecks Eingabe und Abruf. 
Sämtliche Daten — Inhalte, Verkehrsda- 
ten und Personenzuordnungen — laufen 
über Server von Google und werden von 
dem US-Unternehmen gespeichert und 
ausgewertet. Ein Lokalisierungsdienst 
ermöglicht es, den eigenen Standort auf 
einer Karte anzuzeigen oder den Weg zu 
einem festgelegten Ziel zu weisen. Per 
Gesichtserkennung könnte die Brille 
dem Halter mitteilen, wer ihm — wahr- 
scheinlich — gerade gegenübersteht. Der 
Akku soll ohne Nachladen einen ganzen 
Tag durchhalten. Videoverbindungen 
wie sog. Hangouts und Videoaufnah- 
men verbrauchen mehr Strom und lee- 
ren den Akku schneller. Geladen wird 
über ein mitgeliefertes Ladegerät mit 
Mikro-USB-Anschluss. In den Hinwei- 
sen wird erläutert, dass Kinder unter 13 
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Jahren die Brille nicht nutzen sollten, da 
sie ihre Sehentwicklung beeinträchtigen 
könne. Auch wer seine Augen mit einem 
Laser operieren ließ, solle Glass nicht 
unbedingt nutzen. 

Natürlich wurde Google Glass welt- 
weit nicht zuerst in Deutschland vor- 
gestellt, sondern einen Monat zuvor in 
den USA auf der TED-Konferenz durch 
den Google-Gründer Sergey Brin. Die 
Brille befreit von der Notwendigkeit, 
ein Smartphone in die Hand zu nehmen. 
Das Produkt zielt auf eine Verschmel- 
zung der analogen mit der digitalen 
Welt. Gebückt befasste sich Brin bei der 
Präsentation erst mit einem klassischen 
Smartphone: „Haben wir dazu unseren 
Körper? Um herumzustehen und ein ei- 
genschaftsloses Stück Glas zu reiben? 
Für mich fühlt sich das an wie eine Ent- 
mannung.“ Hände, Augen und Ohren 
des Menschen sollten befreit werden. 
Aufrecht nutzte er dann sein Glass. Ein 
offizielles Werbevideo zeigt dem Träger 
die aktuellen Termine an, dann eine Wet- 
tervorhersage, dann eine Kurznachricht 
eines Freundes in einem Buchladen, die 
mündlich beantwortet, in Text übersetzt 
und der Text versendet wird. Glass be- 
stellt dann, vor dem Plakat eines Pop- 
konzerts stehend, hierfür Eintrittskarten. 
Am Ende steht der Held abends auf dem 
Dach eines Hauses, erhält einen Video- 
anruf seiner Freundin, die auf ihrem 
Computerbildschirm den Sonnenun- 
tergang durch seine Augen betrachtet, 
während er Ukulele spielt und sie durch 
ein kleines Fenster im Blickfeld beob- 
achtet. Beruhigend teilte Google bei der 
Vorstellung der Öffentlichkeit mit, An- 
wender von Glass vorerst nicht mit Wer- 
bung behelligen zu wollen. Doch Glass 
soll natürlich zur Produktvermarktung 
eingesetzt werden. Es soll der einkau- 
fenden Frau — so das Werbevideo eines 
US-Lebensmittelkonzerns, ein Mann 
würde durch solch einen Clip wohl „ent- 
mannt“ — nicht nur mitteilen, welche 
Waren im Kühlschrank fehlen, sondern 
auch, in welchem Laden die fehlenden 
Produkte in welchem Regal zu finden 
sind und wie die Frau am schnellsten 
dorthin findet. 

Wenige Tage nach Präsentation der 
Brille wurde verbreitet, dass Glass be- 
reits gehackt worden sei. Der unter 
dem Spitznamen Saurik bekannte Soft- 
wareentwickler Jay Freeman erklärte, 


54 


er habe es innerhalb von zwei Stunden 
geschafft, sich vollen Zugriff auf das 
Betriebssystem zu verschaffen. Dass das 
Gerät „hackbar“ ist, wurde von Google 
auch nicht bestritten. Google-Manager 
propagieren selbst das Spielen mit der 
Technik, um Soft- und Hardware weiter 
zu entwickeln. Unklar ist, was der Jail- 
break für die Google-Brille ermöglicht, 
etwa ob sich das von Google verfügte 
Verbot des Verkaufs oder Verleihs der 
Testgeräte umgehen lässt. Google be- 
hält sich in den Nutzungsbedingungen 
zur „Explorer Edition“ der Datenbrille 
vor, das Gerät aus der Ferne zu „deak- 
tivieren“, sollte es verkauft oder weiter- 
gereicht werden. Möglich wäre das da- 
durch, dass diese, ähnlich wie ein And- 
roid-Handy, über einen Google-Account 
aktiviert werden muss. Würde eines der 
Testgeräte mit einem neuen Account 
verknüpft, würde dies vermutlich von 
Google registriert. 

Ende 2013 soll Glass auf den US- 
amerikanischen Markt kommen, dann 
aber bald auch in Europa. Prophylak- 
tisch wurde Glass schon - vielleicht ein 
kluger Werbegag - für Stripclubs, Ca- 
sinos, Multiplexkinos und für den Stra- 
Benverkehr in West Virginia verboten. 
Von der Pornoindustrie kamen dagegen 
positive Signale, erleichtert doch Glass 
das Erstellen von Filmen aus einer sehr 
subjektiven Perspektive. Der Initiator 
von „Stop the Cyborgs“ wiederum, der 
sich im Netz Adam nennt, erklärte Glass 
zum Einstieg in die Überwachungsge- 
sellschaft und fordert überwachungs- 
freie Zonen, „in denen Menschen frei 
und unbekümmert reden können“. 

Glass ist ein ziviles Produkt, das sei- 
ne Vorläufer im Militär- und Sicher- 
heitsbereich hat. Beim US-Militär sind 
Helmkameras für kämpfende Einheiten 
weit verbreitet. Die Firma Taser rüstet 
nun Polizisten in den USA mit winzi- 
gen Videokameras aus, die an einer Art 
Brillengestell befestigt werden und mit 
denen diese ihre Einsätze dokumentie- 
ren. Bei der Auswertung eines mehrmo- 
natigen Feldversuchs im kalifornischen 
Rialto mit dem „Axon Flex“ genannten 
System ergab sich, dass die Zahl der 
Beschwerden gegen Polizisten abnahm 
wie auch die Zahl der Fälle, in denen 
die Beamten Gewalt anwendeten. Die 
Datenbank, auf der die Bilder von den 
Polizeieinsätzen aufgespielt werden, 


unterliegt bisher nicht der staatlichen 
Kontrolle, sondern dem Privatunterneh- 
men Taser. Taser vertraut auf Amazon, 
das die Server für Evidence.com zur 
Verfügung stellt. Richtlinien, geschwei- 
ge denn eine gesetzliche Grundlage für 
den Einsatz der Technik, gibt es nicht. 
Videodokumentation sichert nicht zwei- 
felsfrei echte Bilder. 2010 wurde die Po- 
lizei in London überführt, Bilder einer 
Überwachungskamera für ein Gerichts- 
verfahren manipuliert zu haben. Dies 
ist auch mit der Brillentechnik möglich. 
Nach Angaben von Taser haben die Po- 
lizeibehörden von Pittsburgh, Salt Lake 
City, der Bahn Bay Area Rapid Transit 
und andere das System bestellt. Auch in 
Deutschland kommen Helmkameras bei 
Einsätzen von Spezialkommandos zum 
Einsatz. Zum Zweck der Eigensiche- 
rung bei Personen- und Fahrzeugkont- 
rollen werden Kameras eingesetzt, die 
nicht am Körper des Polizisten, sondern 
am Einsatzfahrzeug installiert sind. 

Google Glass ist eine logische Wei- 
terentwicklung vorhandener Technik. 
Während jedoch beim Filmen und Foto- 
grafieren mit Smartphone und Minika- 
mera noch eine bewusste und erkennba- 
re Aktivität des Erfassers nötig ist, fällt 
dies bei Glass fort. Für die Erfassten ist 
beim Brilleneinsatz nicht mehr ansatz- 
weise erkennbar, wann gefilmt wird, ja 
dass überhaupt gefilmt werden könnte. 

Aus Datenschutzsicht ist die neue 
Technologie eine Herausforderung: Es 
erfolgt nicht nur eine Erfassung der Da- 
ten der Anwendenden, sondern auch von 
dritten Personen, die mit dem Brillenträ- 
ger überhaupt nichts zu tun haben müs- 
sen und die regelmäßig keine Kenntnis 
von der Aufzeichnung, vor allem von 
Ton und Bild, haben. Die Betroffenen 
können erst recht keine Vorstellung ha- 
ben, welche sie betreffenden weiteren 
Datenverarbeitungen stattfinden, etwa 
ob Gesichtsbilder oder Sprachaufzeich- 
nungen gespeichert werden oder per 
Mustererkennung mit Musterdatenban- 
ken abgeglichen werden, was eine in- 
dividuelle Zuordnung ermöglicht, oder 
ob vom Anwender derartige Zuordnun- 
gen vorgenommen werden. Zu Ton und 
Bild werden Ort und Zeit zugespeichert, 
möglicherweise auch ganze Profile - 
etwa aus sozialen Netzwerken. 

Die rechtliche Verantwortlichkeit für 
die Nutzung von Glass liegt zunächst 
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bei der Person, die die Brille trägt und 
bedient. Erst hinsichtlich der weiteren 
Speicherung und Verarbeitung entsteht 
eine ergänzende Verantwortlichkeit von 
Google. Möglichkeiten, Google den 
Verkauf oder den Vertrieb von Glass 
in Deutschland zu verbieten, bestehen 
derzeit rechtlich nicht. Auch der Besitz 
oder das Tragen von Glass - offline - ist 
rechtlich nicht angreifbar. Beim Einsatz 
von Glass kann es jedoch zu massiven 
Rechtsbeeinträchtigungen kommen. 

Bisher besteht eine explizite Regelung 
zum Einsatz von Glass durch Privatper- 
sonen nicht. Doch muss generell von 
einer Anwendbarkeit des Bundesdaten- 
schutzgesetzes (BDSG) ausgegangen 
werden, da — anders als etwa bei durch- 
laufenden Bildern einer PKW-Außen- 
kamera — mit Glass eine gezielte Daten- 
erhebung und -speicherung von dritten 
Personen erfolgt, bei der eine Beschrän- 
kung auf persönlich-familiäre Zwecke 
nicht erfolgt. Am ehesten anwendbar ist 
$ 6b BDSG zur Videoüberwachung im 
öffentlichen Raum. Doch ähnlich wie 
beim Einsatz von Drohnenkameras greift 
das Regelungskonzept dieser Norm zu 
kurz: Hinweise an die betroffenen Per- 
sonen auf die optische Erfassung sind 
faktisch nicht möglich. Eine Beschrän- 
kung der Datenspeicherung im Hinblick 
auf Zeit, Zweck und Adressaten ist nicht 
vorgesehen. $ 6b BDSG würde zudem 
allenfalls die optische Erfassung erlau- 
ben, in keinem Fall die akustische. Eine 
solche Aufnahme des „nichtöffentlich 
gesprochenen Wortes“ und dessen Ge- 
brauch ist nach $ 201 Strafgesetzbuch 
(StGB) strafbar mit „Freiheitsstrafe bis 
zu drei Jahren oder mit Geldstrafe“. Mit 
den Bildaufnahmen kann eine Verlet- 
zung der $$ 23ff. Kunsturhebergesetz 
(KUG) erfolgen. In jedem Fall stellt die 
Erfassung von Ton und Bild ohne die 
Einwilligung der Betroffenen außerdem 
eine Beeinträchtigung des allgemeinen 
Persönlichkeitsrechtes und des Grund- 
rechts auf informationelle Selbstbestim- 
mung nach Art. 2 Abs. 1 i. V. m. Art. 1 
Abs. 1 Grundgesetz (GG) dar. 

Ein praktisches Problem besteht für 
Betroffene darin, dass sie regelmäßig 
nicht nur nicht feststellen können, dass 
und wie sie erfasst wurden. Es gibt für 
sie auch keinen realistischen Weg, um 
dies in Erfahrung zu bringen. Mangels 
Möglichkeiten, die Identität des Trägers 
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— also aus juristischer Sicht die der „ver- 
antwortlichen Stelle“ — festzustellen, 
fehlt regelmäßig der faktische Ansatz, 
um sich rechtlich zur Wehr setzen zu 
können. Zwar bestehen zivil- und da- 
tenschutzrechtlich Auskunftsansprüche 
der Betroffenen gegenüber dem Glass- 
Nutzenden. Dieser kann aber relativ fol- 
genlos behaupten, dass keine Erfassung 
erfolgt sei. 

Gibt es für diese Beeinträchtigung 
keine Legitimation im Einzelfall, so 
kann — theoretisch — gegen den Ein- 
satz von Glass juristisch vorgegangen 
werden. Verletzungen des allgemeinen 
Persönlichkeitsrechts begründen für den 
Betroffenen gegenüber dem Nutzenden 
zivilrechtliche Ansprüche nach den $$ 
823, 1004 auf Schadenersatz, auf Unter- 
lassung und auf Folgenbeseitigung, also 
auf Datenlöschung. Datenschutzrechtli- 
che Ansprüche bestehen nach den $$ 34, 
35 BDSG auf Auskunft und Löschung. 
Spätestens nach Widerspruch gegen 
eine Datenerhebung muss die weitere 
Erfassung unterlassen werden. Da der 
Verdacht von Straftaten ($ 201 StGB, 
$ 44 BDSG) bestehen kann, können 
die Polizei und die Staatsanwaltschaft 
bemüht werden. Denkbar ist auch, die 
Polizei im Rahmen der Gefahrenabwehr 
nach dem Polizeirecht zum Tätigwer- 
den zu veranlassen. Außerdem kann die 
Datenschutzaufsichtsbehörde nach $ 38 
BDSG zwecks Ermittlung und Sanktio- 
nierung angerufen und tätig werden. 

In der Rechtsprechung des Bundes- 
verfassungsgerichtes ist anerkannt, dass 
schon die begründete Angst, technisch 
beobachtet zu werden, die Wahrneh- 
mung von Grundrechten beeinträchtigt. 
Dies gilt für die politischen Freiheits- 
rechte wie z. B. für das Grundrecht auf 
Versammlungsfreiheit, aber letztlich für 
alle anderen Grundrechte. Angesichts 
dessen ist es nicht ausgeschlossen, dass 
die Nutzung von Google Glass und ver- 
gleichbaren Werkzeugen gesetzlich oder 
administrativ (z. B. über das Polizei- 
recht) verboten wird. Derartiges würde 
aber viele rechtliche Fragen aufwerfen, 
insbesondere die nach einer hinreichend 
bestimmten Abgrenzung dessen, was 
noch erlaubt und was verboten sein 
soll. Bevor Vertreter staatlicher Stellen, 
etwa Polizeibeamten, Geheimdienst- 
ler oder Steuerfahnder, Glass einsetzen 
dürfen, bedürfte es in jedem Fall einer 


ausdrücklichen gesetzlichen Regelung. 
Dies ist in der Rechtsprechung des Bun- 
desverfassungsgerichtes mit seiner We- 
sentlichkeitstheorie seit Jahren geklärt. 

Wegen der faktischen Schwierigkeit, 
staatlich-institutionelle Hilfe in An- 
spruch zu nehmen, stellt sich die Frage, 
welche Maßnahmen der Selbsthilfe ge- 
gen die Erfassung durch Glass zulässig 
sind. Verhältnismäßig dürfte wohl in je- 
dem Fall die Festhaltebefugnis zwecks 
Identitätsfeststellung nach $ 127 Straf- 
prozessordnung (StPO) sein. Hochinter- 
essant wird voraussichtlich sein, wie ge- 
richtlich im Fall des Selbstschutzes von 
Betroffenen durch Wegnahme oder gar 
Zerstörung der Google-Brille entschei- 
den werden wird. Vor Jahren bestätigte 
die Rechtsprechung immer wieder, dass 
ein solcher Selbstschutz (zumeist von 
Polizeibeamten) gegen unzulässiges Fo- 
tografieren zulässig war. 

Zu hoffen ist, dass all diese rechtli- 
chen Fragen nicht entschieden werden 
müssen, weil die Menschen in Europa 
und in Deutschland vernünftig genug 
sind, den Einsatz dieses persönlich- 
keitsrechtsverletzenden Gadgets zu un- 
terlassen. Besser als jede institutionelle 
und rechtliche wäre die gesellschaft- 
liche und kulturelle Sanktionierung. 
Statt zum Statussymbol zu werden, 
müsste sich durchsetzen, dass es sich 
bei Nutzenden von Google Glass um 
rücksichtslose Idioten handelt. Als er- 
kannte rücksichtslose Idioten wollen 
nur wenige Menschen durch die Welt 
laufen. Google könnte es sicher öko- 
nomisch verkraften, wenn Glass ein 
Flop wird. Aus datenschützerischer und 
marktpädagogischer Sicht ist genau 
dies mehr als wünschenswert (Google 
Glass ist schon gehackt, www. Spiegel. 
de 28.04.2013; Boie, Zurück aus der 
Zukunft, Süddeutsche Zeitung (SZ) 
26.04.2013, 47, Keine Werbung auf Da- 
tenbrille, SZ 24.04.2013, 22; Brauck, 
Glass-Auge, sei wachsam! Der Spiegel 
15/2013, 120; Rosenfelder, Google und 
wie wir die Welt sehen werden, www. 
welt.de 16.04.2013; Biermann, Google 
Glass ist kein Kinderspielzeug, www. 
zeit.de 16.04.2013; Beuth, Die Po- 
lizei dein Freund und Kameramann, 
www.zeit.de 08.04.2013; Crocoll, Zu 
viel Durchblick, SZ 02.04.2013, 19; 
Beuth, Die Anti-Cyborgs, www.zeit.de 
21.03.2013). 
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Karsten Neumann 


Meldepflicht von Datenschutzvorfällen — 
Anforderungen an das Datenschutzmanagement 


Nach 4jähriger Praxiserfahrung mit der 
Meldepflicht von Datenschutzverstößen 
trügt die allgegenwärtige Empfindung 
eines Anwachsens von Datenschutzvor- 
fällen. Vielmehr führt die Meldepflicht 
zunehmend zu einer Aufhellung des 
Dunkelfeldes — ein Begriff aus der Kri- 
minologie, der all die Fälle zu erfassen 
versucht, die nicht angezeigt werden und 
deshalb die Kriminalitätsstatistik als Be- 
schreibung des Hellfeldes ins rechte Licht 
rücken will. Die Erfahrung und aktuelle 
Studien belegen, dass vermutlich heute 
nicht mehr Datenlecks entstehen, son- 
dern nur die bisherigen endlich bekannt 
werden und somit der Öffentlichkeit ein 
klareres Bild von der Bedrohungslage 
geben. Unternehmen sind zunehmend 
gezwungen, sich mit der Frage auseinan- 
derzusetzen, wie Datenlecks überhaupt 
bemerkt werden können, um Betroffene 
wenigstens vor einem drohenden Miss- 
brauch warnen zu können. Datenschutz- 
management wird so zum Pendant einer 
IT-Sicherheitsstrategie. 


Paradigmenwechsel 


Mit $ 42a BDSG leitete die Novel- 
lierung des BDSG 2009' einen längst 
überfälligen Paradigmenwechsel ein. 
Bei der Beurteilung der Gefährdun- 
gen durch einen unberechtigten Abfluss 
von Informationen steht nicht mehr das 
Kosten- oder Imageinteresse der verant- 
wortlichen Stelle im Mittelpunkt der In- 
formationspolitik der Unternehmen und 
der Verschwiegenheitsverpflichtung der 
Aufsichtsbehörden, sondern das Inter- 
esse der Betroffen, um deren Daten es 
geht. Deren qualifizierte und kostenlose 
Interessenvertretung wird im Verfahren 
vor einer Information der Betroffenen 
durch die zuständige Aufsichtsbehörde 
wahrgenommen, was zugleich notwen- 
digerweise im Falle eines Datenverlustes 
unweigerlich die aufsichtsbehördliche 
Prüfung der Angemessenheit ergriffener 
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Schutzmaßnahmen auf den Plan ruft. 

Das amerikanische Konzept der Infor- 
mationspflichten (Data Breach Notifica- 
tion) wurde durch den deutschen Geset- 
zeber in Umsetzung einer EU-Richtlinie 
aufgegriffen und in seinem Anwen- 
dungsbereich schrittweise erweitert. So 
verweist $ 93 Abs. 3 Telekommunika- 
tionsgesetz auf $ 42a BDSG, wenn für 
den Fall Bestands- und Verkehrsdaten 
unrechtmäßig zur Kenntnis Dritter ge- 
langen. Entsprechendes gilt nach $ 15a 
Telemediengesetz für Bestands- und 
Nutzungsdaten nach $$ 14 und 15 TMG 
und im Sozialrecht gemäß $ 83a Sozial- 
gesetzbuch X für Sozialdaten. Vergleich- 
bare Meldepflichten fanden sich aber 
auch bereits vorher auf landesgesetzli- 
cher Ebene, so zum Beispiel in $ 23 DSG 
MV? für öffentliche Stellen, die bisher 
auf Bundesebene immer noch von der 
Meldepflicht ausgenommen sind. 

Nach Auffassung der Aufsichtsbehör- 
den? entsteht die Meldepflicht entgegen 
dem Wortlaut des Gesetzes nicht erst, 
wenn die rechtswidrige Übermittlung 
solcher Daten durch die Stelle festgestellt 
wurde, sondern bereits wenn anhand von 
tatsächlichen Anhaltspunkten mit einer 
gewissen Wahrscheinlichkeit davon aus- 
gegangen werden kann, dass die Daten 
unberechtigt zur Kenntnis gelangt sein 
könnten. Auch wenn diese Auffassung 
von der Gesetzesbegründung nicht ge- 
stützt wird, spricht doch die Regelung 
des $ 42a dafür, bereits die Gefährdung 
oder Möglichkeit rechtswidriger Kennt- 
nis-Erlangung durch Dritte als Anknüp- 
fungspunkt für Ermittlungen, Abwägung 
und Information zu nutzen. 

Die gegenwärtig in der Diskussion ste- 
hende EU-Datenschutzgrundverordnung? 
soll auch hier einen Schritt weiter gehen. 
Gemäß Artikel 31 und 32 des Entwurfes 
der Kommission soll bereits eine Verlet- 
zung von Schutzmaßnahmen innerhalb 
von 24 Stunden der Aufsichtsbehörde 
gemeldet und bei einer Wahrscheinlich- 


keit der Verletzung der Privatsphäre der 
Betroffenen diese unterrichtet werden 
müssen. 

Die Frage, welches Maß an Verlet- 
zung ausreichend sein soll, um eine 
Meldepflicht auszulösen, hat die Praxis 
vor enorme Probleme gestellt. Wann 
führt ein verlorener Generalschlüs- 
sel zur Meldepflicht, wenn mit diesem 
die Personalabteilung betreten werden 
kann? Muss ein verloren gegangener 
USB-Stick mit entsprechenden Daten 
gemeldet werden, wenn dieser 2 Tage 
später von Unbekannten wieder per Post 
zugeschickt wurde? Auch die Aufsichts- 
behörden stehen vor einer neuen Aufga- 
be und versuchen gegenwärtig durch die 
Sammlung von Erfahrungen mit diesen 
Meldungen Kriterien zu entwickeln, die 
hoffentlich bald auch durch die Praxis 
nutzbar werden. 

Solange _Strafverfolgungsinteressen 
oder Maßnahmen zur (Wieder-)Herstel- 
lung der Datensicherheit es erfordern, 
kann die Information der Betroffenen ab- 
gewartet werden, wenn eine Abwägung 
mit deren Interesse an einer Verhinde- 
rung möglicher Nachteile durch die Da- 
tenoffenbarung nicht im Einzelfall über- 
wiegt. Der „Lohn“ rechtzeitiger Informa- 
tion ist die Straffreiheit gem. $ 42a Satz 
6 bezogen auf die Datenschutzverstöße, 
die gegebenenfalls den Datenabfluss er- 
möglicht oder begünstigt haben. Diese 
korrespondiert mit dem strafprozess- 
rechtlichen Grundsatz, dass niemand sich 
selbst bezichtigen muss, und steht damit 
unter dem Vorbehalt einer rechtzeitigen 
Selbstanzeige, also bevor nicht durch 
die Aufsichtsbehörde bereits Ermittlun- 
gen aufgenommen worden sind. Dies 
hat der Gesetzgeber offensichtlich nicht 
berücksichtigt, unterstellt er doch in der 
Gesetzesbegründung die Möglichkeit der 
Kenntniserlangung durch Hinweise der 
Aufsichtsbehörden als Ausgangspunkt 
einer strafbefreienden Selbstanzeige. 
Wenn die Aufsichtsbehörde allerdings 
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erst ggf. unter Bezugnahme auf Informa- 
tionen von Betroffenen die verantwort- 
liche Stelle auf einen Datenverlust auf- 
merksam machen muss, wird hierdurch 
zwar die Informationspflicht ausgelöst, 
die strafbefreiende Wirkung ist damit al- 
lerdings verwirkt. 

Hieraus entsteht je nach Unterneh- 
mensbranche neben dem wirtschaftli- 
chen Interesse des Investitionsschutzes 
auch ein handfestes rechtliches Interesse, 
Sicherheitsvorfälle rechtzeitig und mög- 
lichst selbst zu erkennen. Diese Aufgabe 
gestaltet sich jedoch aus der Erfahrung 
der letzten Jahre von gemeldeten und 
nicht gemeldeten Sicherheitsvorfällen 
äußerst schwierig. Sich verlangt von den 
Unternehmen eine entsprechende Um- 
organisation ihres Datenschutzmanage- 
mentsystems: sowohl organisatorisch, als 
auch technisch. 


Überwachungspflicht 


Auch wenn es bisher keine gesetz- 
liche Pflicht zur Durchführung eines 
Datenschutzmanagementsystems gibt, 
fand ein Datenschutzkonzept zumin- 
dest schon mal Eingang in $ 9a BDSG. 
Wenn man den gesetzgeberischen Auf- 
trag des $ 9 BDSG ernst nimmt, geht je- 
doch kein Weg an einem systematischen 
Aufbau einer Datenschutzorganisation 
vorbei. Durch die Einführung eines Da- 
tenschutzmanagementsystems wird ein 
Unternehmen systematisch in die Lage 
versetzt, alle Prozesse nicht nur recht- 
lich auf Zulässigkeit zu prüfen, sondern 
mit dem Verfahrensverzeichnis auch oft 
erstmalig die technisch-organisatori- 
schen Maßnahmen zu dokumentieren. 
Hierdurch werden alle Verfahren einer 
Verarbeitung personenbezogener Daten 
erfasst, auf die datenschutzrechtliche Zu- 
lässigkeit der Datenverarbeitung geprüft, 
Daten klassifiziert und Sicherheitsmaß- 
nahmen analog dem festgestellten Risiko 
festgelegt. Hierzu gehören am Ende auch 
Überwachungssysteme, die eine Daten- 
schutzverletzung identifizieren können. 
Datenschutzrechtlich zulässige Überwa- 
chungsmaßnahmen sind all jene, die zum 
Aufdecken individuellen Fehlverhaltens 
geeignet und bestimmt sind. Damit sind 
sowohl technische Protokollierungen, als 
auch Zugangssicherungen und Alarmsys- 
teme geeignete Maßnahmen, solange sie 
verhältnismäßig zum Schutzbedarf der 
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Daten sind. Eine solche Abwägungsent- 
scheidung - die letztendlich auch Gegen- 
stand der Vorab-Kontrolle des betriebli- 
chen Datenschutzbeauftragten ist — setzt 
mithin eine Schutzbedarfsfeststellung 
zwingend voraus. Dem Schutzbedarf ent- 
sprechend sind die Sicherheitsmaßnah- 
men auszuwählen. Mit der gesetzgebe- 
rischen Beschränkung der Meldepflicht 
gemäß $ 42a auf die dort genannten 
besonders sensiblen Daten (besondere 
Arten personenbezogener Daten, perso- 
nenbezogene Daten, die einem Berufsge- 
heimnis unterliegen, personenbezogene 
Daten, die sich auf strafbare Handlungen 
oder Ordnungswidrigkeiten oder den 
Verdacht strafbarer Handlungen oder 
Ordnungswidrigkeiten beziehen, oder 
personenbezogene Daten zu Bank- oder 
Kreditkartenkonten) wurde die Schutz- 
bedarfsklassifizierung für diese Daten 
als besonders hoch vorweggenommen. 
Sobald solche Daten in den Verfahren 
erhoben oder verarbeitet werden, sind 
Überwachungsmaßnahmen zwingend er- 
forderlich. 


Kultur der Verantwortlichkeit 


Bei allen Überwachungsmaßnahmen 
bleibt selbst bei 4-Augen-Verfahren ein 
Restrisiko menschlichen Fehlverhal- 
tens, dem ein Unternehmen nur noch 
durch eine Kultur der Verantwortlich- 
keit entgegentreten kann. Es muss im 
Unternehmen nicht nur möglich, son- 
dern auch positiv honoriert sein, Fehler 
einzuräumen und Mängel zu benennen. 


Eine solche Kultur ist nur durch lang- 
jährige Auseinandersetzung und loyale 
Mitarbeiter auf allen Führungsebenen 
zu erreichen. Selbst dann müssen inter- 
ne Systeme für Hinweisgeber es eigenen 
Mitarbeitern ergänzend ermöglichen, 
anonym auf Sicherheitsverstöße hinzu- 
weisen. Auch wenn die Anonymität die 
Aufklärung erschwert und das Risiko 
von Missbrauch mit sich bringt, sollte 
das Aufklärungsinteresse im Interesse 
des Unternehmens und der Betroffenen 
höher stehen. Solche Möglichkeiten sind 
durch die Verschwiegenheitspflicht der 
betrieblichen Datenschutzbeauftragten 
personell eröffnet, könnten aber schon 
durch einen Beschwerdebriefkasten bei- 
spielsweise im Fahrstuhl technisch ein- 
fach umgesetzt werden. 


Technische Schutzvorkehrungen 


Weit schwieriger und aufwändiger sind 
die erforderlichen technischen Maßnah- 
men. Nach einer jüngst veröffentlichten 
Studie von Verizon, dem „Data Breach In- 
vestigations Report 2013“ (DBIR2013)°, 
ergab die Untersuchung in 27 Ländern 
und unterschiedlichsten Geschäftsberei- 
chen ein erschreckendes Bild: die Unter- 
nehmen erfahren von einem Datenleck 
in der Regel zu spät und durch Dritte. So 
weist der DBIR2012 für den Bereich der 
Gesundheitswirtschaft° aus, dass 84% 
aller erfolgreichen Angriffen innerhalb 
von Minuten abgeschlossen sind, in 66% 
aller Fälle Monate bis Jahre unentdeckt 
bleiben und es in 22% aller Fälle Monate 


Bild 1: Lebenszyklus von Datenlecks 
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Bild 2: Wer entdeckt Datenlecks? 
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dauerte, bis die Fehler behoben wurden 
(Bild 1). Entdeckt wurden diese Fälle vor 
allem durch Externe: in 26% der Fälle 
durch unbeteiligte Dritte, nur in 10% von 
Nutzers und die interne Auswertung von 
Log-Dateien, Fraud Detection, Incident 
Response und IT-Audits waren jeweils 
nur mit einem Prozent an der Aufklä- 
rungsquote beteiligt (Bild 2). Alle inter- 
nen Verfahren scheinen systembedingt 
fehlerbehaftet zu sein. Umso wichtiger 
wird der Ansatz, unternehmensinterne 
Verfahren durch externe Prüfungen zu 
ergänzen, wie es ebenfalls im Entwurf 
der EU-Datenschutzgrundverordnung 
vorgesehen ist. Artikel 22 sieht zur Um- 
setzung der Pflichten des für die Verar- 
beitung Verantwortlichen vor, dass der 
für die Verarbeitung Verantwortliche 
„geeignete Verfahren zur Überprüfung 
der Wirksamkeit der in den Absätzen 1 
und 2 genannten Maßnahmen“ einsetzt 
und ergänzend, dass die „Überprüfung 
von unabhängigen internen oder externen 
Prüfern durchgeführt“ wird. 

Je nach Gefährdungslage und Kom- 
plexität der technischen Infrastruktur ist 
ein Information Security Management 
System (ISMS) erforderlich, um die An- 
forderungen des $ 9 BDSG und damit 
auch des $ 42 erfüllen zu können. Auch 
wenn nicht immer eine Zertifizierung 
nach DIN 27001 angemessen und er- 
forderlich ist, so ist zumindest die Me- 
thode nach den vom Bundesamt für die 
Sicherheit in der Informationstechnik 
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(BSI) herausgegebenen Grundschutz- 
standards für das Datenschutzkonzept in 
dem Baustein B 1.5 „Datenschutz“ so- 
wie in der Maßnahme M 7.3 der Grund- 
schutzkataloge generell zu empfehlen. 
Das Datenschutzkonzept ist als Pendant 
zum IT-Sicherheitskonzept notwendige 
Ergänzung der Informationssicherheit. 


Informationspflicht 


Ein weiterer Paradigmenwechsel kor- 
rigiert allzu ausufernde Auslegungen ei- 
nes „unverhältnismäßigen Aufwandes“ 
durch die alternative Veröffentlichungs- 
pflicht in zwei deutschlandweit erschei- 
nenden Tageszeitungen. Die Entschär- 
fung des Entwurfes durch den Zusatz 
„oder durch eine andere, in ihrer Wirk- 
samkeit hinsichtlich der Information 
der Betroffenen gleich geeignete Maß- 
nahme“ auf Intervention des Bundesra- 
tes erfordert ebenfalls gleich wirksame 
alternative Informationswege, also zum 
Beispiel landesweit erscheinende Tages- 
zeitungen bei regionalem Bezug. Auch 
dann bleibt es bei einem hohen Image- 
risiko einer solchen Datenschutzverlet- 
zung für jedes betroffene Unternehmen. 

Der Regelfall ist jedoch die Infor- 
mation der Betroffenen entweder auf 
elektronischem oder postalischem Weg. 
Ach hierbei ist der Inhalt durch die ge- 
setzliche Regelung vorgegeben, um dem 
Betroffenen alle Informationen zur Ver- 
meidung möglicher Nachteile zu geben. 


Ein wirksames Datenschutzmanage- 
ment muss nach dem Prinzip „Folge 
dem Datum“ alle Prozesse im Unterneh- 
men erheben, deren datenschutzrechtli- 
che Zulässigkeit gewährleisten, die dem 
Stand der jeweiligen (Bedrohungs-) 
Technik erforderlichen Maßnahmen 
zum Schutz der zulässigerweise erhobe- 
nen Daten vor einem Missbrauch auch 
im Fall eines Versagens der Schutzmaß- 
nahmen festlegen und deren Wirksam- 
keit prüfen können. Dabei muss sich jede 
verantwortliche Stelle dem Umstand 
stellen, dass interne Schutzmaßnahmen 
nur in der externen Widerspiegelung sei- 
ne Wirksamkeit entfalten kann. 


1 8 42a wurde eingefügt durch das Gesetz 
zur Regelung des Datenschutzaudits 
und zur Änderung datenschutzrechtli- 
cher Vorschriften, Gesetzentwurf der 
Bundesregierung auf BT-Drs. 16/12011, 


2 „Hat eine Daten verarbeitende Stelle 
Grund zur Annahme oder Kenntnis, 
dass unrichtige, unzulässig erhobe- 
ne oder unzulässig gespeicherte perso- 
nenbezogene Daten in der Weise ge- 
nutzt wurden, dass dem Betroffenen 
daraus ein Nachteil entstanden ist oder 
zu entstehen droht, so hat sie diesen 
unverzüglich zu benachrichtigen.“ 


3 Informationspflicht bei unrechtmä- 
Biger Kemntniserlangung von Daten 
nach $ 42a Bundesdatenschutzgesetz 
(BDSG): Häufig gestellte Fragen 
(FAQs) erstellt vom Berliner 
Beauftragten für Datenschutz und 
Informationsfreiheit und freundli- 
cherweise dem LDI NRW zur eige- 
nen Veröffentlichung zur Verfügung 
gestellt unter: https://www.ldi.nrw.de/ 
mainmenu_Datenschutz/submenu_ 
Technik/Inhalt/TechnikundOrganisation/ 
Inhalt/Informationspflicht _ 
bei_Datenpannen 2a 
BDSG /Vorlage_FAQs_zur 
Informationspflichtl.pdf 


4 Verordnung des Europäischen 
Parlaments und des Rates zum Schutz 
natürlicher Personen bei der Verarbeitung 
personenbezogener Daten und zum 
freien Datenverkehr (Datenschutz- 
Grundverordnung) KOM (2012) 11 


5 Data Breach Investigations Report 
2013: http://www.verizonen- 
terprise.com/DBIR/2013/ 


6 DBIR Industry Snapshot: Healthcare: 
http://www.verizonenterprise.com/ 
resources/reports/rp_dbir-industry- 
snapshot-healthcare_en xg.pdf 
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Arbeitswelt: Apple Retail 
Germany GmbH 


Der BigBrotherAward 2013 in der 
Kategorie Arbeitswelt geht an die Apple 
Retail Germany GmbH in München für 
die umfassende Videoüberwachung von 
Beschäftigten. Das Unternehmen betreibt 
die Apple Stores in Deutschland. In die- 
sen sollen nicht nur Verkaufs- und Lager- 
räume flächendeckend und dauerhaft per 
Kamera überwacht worden sein, sondern 
auch Pausenräume. Diese Form der To- 
talkontrolle von Beschäftigten wäre in 
Deutschland rechtswidrig. Dabei zeigt 
sich die Firma uneinsichtig: Zum Bei- 
spiel wurden erst nach zähen Verhand- 
lungen von Datenschutzbeauftragten die 
Hinweisschilder auf Videoüberwachung 
im Kundenbereich von Dackelaugenhö- 
he auf Hüfthöhe korrigiert. 


Google 


Rena Tangens und Padeluun — Foto: Fabian Kurz 


Globales Datensammeln: 
Google Inc. 


In der Kategorie „Globales Daten- 
sammeln“ geht der BigBrotherAward 
an Google Inc., Mountain View, USA. 
Unter dem Deckmantel einer Suchma- 
schine und anderen Gratis-Diensten 
wie Maps, Docs und YouTube sammelt 
der Werbekonzern Google auf Schritt 
und Tritt Echtzeit-Daten über alles und 
jeden und kategorisiert Menschen für 
seinen Werbeprofit. Google missach- 
tet europäisches Recht und nutzt seine 
marktbeherrschende Stellung, um die 
technokratische Ideologie eines allwis- 
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senden Supercomputers voranzutreiben, 
der besser weiß, was Menschen wollen 
als sie selbst. 


Wirtschaft: Deutsche Post 
Adress GmbH und Co KG 


Der BigBrotherAward 2013 in der 
Kategorie Wirtschaft geht an die Deut- 
sche Post Adress GmbH und Co KG. In 
tausenden Postfilialen und im Internet 
geben jährlich Millionen Menschen in 
Deutschland Ihre Adress- und Umzugs- 
daten an. Diese bilden den Grundstock 
für die ständige Aktualität des Adressda- 
tenbestands der Deutschen Post Adress 
GmbH. Und die verkauft ihre landes- 
weite Ortskenntnis an zahlende Kunden 
weiter. Wer keinen Nachsendeantrag 
stellt, dem ist die Adressenrecherche der 


Preisträgerin trotzdem auf den Fersen, 
wenn es der werbenden Wirtschaft oder 
dem Forderungseinzug dient, notfalls 
sogar bis ans eigene Telefon. 


Behörden & Verwaltung: 
Bundespolizei 


Der BigBrotherAward 2013 in der Ka- 
tegorie Behörden & Verwaltung geht an 
die Bundespolizei, vertreten durch ihren 
Präsidenten Dieter Romann, für Poli- 
zeikontrollen, bei denen Personen auf- 
grund ihres äußeren Erscheinungsbil- 
des (Hautfarbe oder andere biologische 


Merkmale, ethnische Zugehörigkeit, 
nationale Herkunft, Religion, Sprache) 
gezielt aus einer Menschenmenge her- 
ausgegriffen werden, um ihre Persona- 
lien festzustellen und sie zu überprüfen. 
Diese verbreitete Praxis rassistischer 
Rasterungen nennt man „Racial“ oder 
„Ethnic Profiling“, auf verdächtiges 
Verhalten oder objektive Indizien als 
Verdachtsmomente kommt es bei dieser 
Kontrollpraxis nicht an. 


Politik: Ministerpräsidenten der 
deutschen Bundesländer 


Der BigBrotherAward in der Kate- 
gorie Politik geht an die Ministerpräsi- 
denten der 16 deutschen Bundesländer 
für die Einrichtung des Gemeinsamen 
Beitragsservice von ARD, ZDF und 
Deutschlandradio als Nachfolger der 
GEZ. Seit Anfang Januar sind Rund- 
funkbeiträge nicht mehr für Geräte, 
sondern pro Wohnung zu entrichten. 
Dabei haben die Autoren des Rundfunk- 
beitragsstaatsvertrages die Chance ver- 
passt, eindeutige, personenunabhängige 
Regelungen zu entwickeln. In der mehr- 
jährigen Übergangsphase verarbeitet der 
neue Beitragsservice sogar viel mehr 
Daten als zuvor die GEZ. Die rechtliche 
Grundlage der Datenverarbeitung ist für 
Juristen zumindest zweifelhaft. 


Tadelnde Erwähnungen: 


Bundesanstalt für Finanzdienstleis- 
tungsaufsicht 

Die Bundesanstalt für Finanzdienst- 
leistungsaufsicht (BaFin) führt seit dem 
1. November 2012 ein zentrales „Bera- 
terregister“. Dort werden alle Informa- 
tionen über Beschwerden gesammelt, 
die es über Anlageberater gibt. Ob die 
Beschwerden berechtigt sind oder nicht, 
ist für die Erfassung unerheblich. Hält 
die BaFin Beschwerden für berechtigt, 
kann sie den Beschäftigten die Anlage- 
beratung für bis zu zwei Jahre untersa- 
gen. Für die Betroffenen ist dies faktisch 
ein Berufsverbot und hat wahrschein- 


Se 


lich auch arbeitsrechtliche Konsequen- 
zen. Der Druck von Arbeitgebern und 
Vertriebsleitern, der Ursache für viele 
Fehler und Beschwerden ist, wird im 
Beraterregister nicht berücksichtigt Die 
Volksbank in Göppingen hat Verfas- 
sungsbeschwerde gegen das Beraterre- 
gister eingelegt. 


Bundesregierung — Telekommunika- 
tionsbestandsdatenauskunft 

Das Bundesverfassungsgericht hatte 
eine Neuregelung der „Änderung des 
Telekommunikationsgesetzes“ und der 
„Bestandsdatenauskunft“ gefordert, 
aber der neue Gesetzentwurf entspricht 
in vielen Punkten nicht den Anforderun- 
gen des Gerichts. Unter anderem soll die 
Identifizierung von Internetnutzerinnen 
und -nutzern über die IP-Adresse schon 
zur Ermittlung geringfügiger Ordnungs- 
widrigkeiten sogar ohne konkrete Ver- 
dachtsmomente abrufbar sein . 


Landkreis Peine 

Der Landkreis Peine hat einem 24-jäh- 
rigen Autofahrer angedroht, dass dieser 
zu einer medizinisch-psychologischen 
Untersuchung (MPU) müsse. Besagter 
Autofahrer hatte sich auf Facebook kri- 
tisch über fest installierte Radaranlagen 
an einer Landstraße geäußert. Hieraus 
leitet der Landkreis Peine ein „gewisses 
Maß an Konfliktpotential“ ab, welches 
im Straßenverkehr nicht angebracht sei. 
Nachdem der Vorfall öffentlich wurde, 
räumte der Sprecher des Landkreises 
zwar eine Überreaktion eines Mitarbei- 
ters ein. Gleichzeitig bestätigte er aber, 
dass der Landkreis in drei anderen Fäl- 
len Strafanzeigen wegen Internet-Ein- 
trägen mit grob beleidigendem Charak- 
ter gestellt habe. 


Rena Tangens 


Dämpfer für die Arroganz von Apple 


Verbraucher haben Rechte — und 
die gelten auch gegenüber Firmen, 
die sich pro forma in der Steuer- und 
Datenschutzvermeidungsoase Irland 
angesiedelt haben. Ein erfreuliches 
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EU-Überwachungssystem 
EUROSUR 

„Eurosur“ ist ein „Frühwarnsystem“, 
das die „Überwachung, Ermittlung, Iden- 
tifizierung, Nachverfolgung, Vorbeugung 
und das Abfangen“ von illegalen Grenz- 
übertritten in die EU erleichtern soll. Mit 
dem Einsatz von Drohnen, Satelliten, Ra- 
darüberwachung und auch von geheim- 
dienstlichen Mitteln zur Vorfeldaufklä- 
rung wird die EU an ihren Außengrenzen 
weiter zu einer elektronischen Festung 
ausgebaut, um Migranten und Flüchtlin- 
ge abzuwehren. Damit wird das ohnehin 
schon eingeschränkte Asylrecht noch 
stärker ausgehöhlt. Der Innenausschuss 
des Europaparlaments hat „Eurosur“ im 
November 2012 beschlossen. 


Regis24 u.a. 

Die Firma Regis24 und andere soge- 
nannte Adressmittler bauen Datenban- 
ken auf, die einem parallelen Zentral- 
Melderegister gefährlich nahe kommen 
— mit fragwürdigem Rechtsverständnis. 
Regis24 bietet Unternehmen den Service 
an, für sie Auskünfte im Melderegister 
einzuholen. Regis24 bringt die Daten 
in Erfahrung, um sie anschließend z. B. 
an die Bank weiter zu geben. Regis24 
speicherte die Daten auch in den eige- 
nen Datenbanken ab, um sie für weitere 
Anfragen zu nutzen. So legte Regis?4 
Stück für Stück und ohne Wissen der 
Betroffenen ein Schattenmelderegister 
an, das für Bürger und Bürgerinnen we- 
der einsehbar, noch kontrollierbar ist. 


Deutscher Musikrat GmbH 

Der Deutsche Musikrat veranstaltet 
den renommierten Wettbewerb „Ju- 
gend musiziert“. Für die Teilnahme ist 
es erforderlich, dass bei der Anmeldung 


Urteil des Berliner Landgerichtes. 
Die BigBrotherAwards hatten Apple 
bereits 2011 wegen seiner Datenschutz- 
bestimmungen einen der ungeliebten 
„Oscars für Datenkraken“ verpasst und 


sehr umfangreiche personenbezogene 
Daten angegeben und zur weitgehen- 
den Verwendung freigegeben werden. 
Einige dieser Daten mögen zwar für die 
Durchführung des Wettbewerbs erfor- 
derlich sein, aber eine Veröffentlichung 
von Name, Vorname und Jahrgang, auch 
noch Geschlecht, vollständiges Geburts- 
datum, Telefon- und Mobilnummer der 
zumeist minderjährigen Teilnehmenden 
im Internet ist nicht nachvollziehbar. 


Palm WebOS 

Palm vertreibt als Tochterfirma von 
Hewlett-Packard handelsübliche Smart- 
phones, basierend auf HP’s Betriebs- 
system WebOS. In den allgemeinen 
Geschäftsbedingen von Palm WebOS 
steht nicht nur, dass regelmäßig sen- 
sible Informationen zu Kontakten und 
Kalender an Palm übertragen werden. 
Auch dürfen Informationen wie Regis- 
trierungsdaten, Konto- und Geräteinfor- 
mationen, Inhalte und technische Daten 
gespeichert, veröffentlicht, übertragen 
oder anderweitig verwendet werden. 


Polizei Frankfurt (Oder), 
Mordkommission 

Im Fall einer Entführung hat sie sach- 
dienliche Hinweise aus der Bevölkerung 
über eine Web.de-E-Mail-Adresse ent- 
gegengenommen. Damit hat sie die Ho- 
heit über die eingehenden Informationen 
(Hinweise, Mutmaßungen, Verdachtsmo- 
mente usw.) in private Hand gegeben. 
Normalerweise erfordern solche Ermitt- 
lungen großes Fingerspitzengefühl und 
höchste Professionalität, um Mutmaßun- 
gen nicht zu früh öffentlich werden zu 
lassen oder Zeugen zu gefährden. Eine 
Web.de-Adresse anmelden kann jedoch 
jeder — auch der Täter. 


die „Geiselnahme der Kunden mittels 
teurer Hardware“ gerügt. Der vzbv (Ver- 
braucherzentrale Bundesverband) prüfte 
2012 die Allgemeinen Geschäftsbedin- 
gungen des Apple App-Stores. Insge- 
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samt 15 Punkte bemängelte der vzbv, die 
die Kunden unangemessen benachteilig- 
ten. Da der Konzern sich nur bedingt 
einsichtig zeigte, musste die Sache vor 
dem Landgericht Berlin geklärt werden. 
Das gab jetzt den Verbraucherschützern 
in vollem Umfang recht. 

Die vom Gericht kassierten Vertrags- 
klauseln sind schlicht eine Frechheit. 
Nicht nur sollen die Kunden eine glo- 
bale Einwilligung zur Datenverarbei- 
tung geben ohne zu wissen, für welche 
Zwecke. Sondern sie sollten auch gleich 
zustimmen, dass Apple die Daten ihrer 
Kontakte erhebt — ohne dass diese selbst 
dazu gefragt würden. Zusammenführung 
mit Informationen aus anderen Quellen, 
Datenweitergabe zu Werbezwecken an 
strategische Partner und Nutzung der 
Standortdaten der Kunden wollte sich 
Apple ebenfalls einräumen. Uns so wei- 
ter und so fort. Das alles auf 21 DINA4 
Seiten. Was übrigens sich auf 117 Seiten 
erhöht, wenn die Kunden die AGB / Da- 
tenschutzbestimmung auf dem Display 
ihres iphones lesen wollen. Hier zeigt 
sich die maßlose Arroganz zu meinen, 
alles tun zu können, was dem Profit 
dient. Für die Kundinnen und Kunden 
gilt „£riß oder stirb“. 


In den Jura-Fakultäten von US-Uni- 
versitäten wird durchaus gelehrt, was 
in Europa erlaubt ist und was nicht. 
Doch mit einem Augenzwinkern wird 
dort schon den Studierenden vermittelt, 
dass die Regeln nicht ernst zu nehmen 
seien, da ihre Einhaltung selten verfolgt 
würde und wenn, sei die zu erwartende 
Strafe ja locker aus der Portokasse zu 
bezahlen. 

Die europäische Datenschutzgrund- 
verordnung war angetreten, das zu än- 
dern. Eine drohende Strafe bei Daten- 
schutzverstößen von 2% vom Umsatz 
eines global tätigen Unternehmens ist 
dazu angetan, Datenschutz zur Chefsa- 
che zu machen. Die Reaktion der US- 
Unternehmen ist bekannt: Sie haben 
scharenweise Lobbyisten nach Berlin 
und Brüssel geschickt, um die geplan- 
te Datenschutzverordnung so lange mit 
Änderungsvorschlägen zu verwässern, 
bis sie gar nicht mehr für sie zutrifft. 
Dem müssen unsere Minister im EU- 
Ministerrat und die Europaabgeordneten 
endlich etwas entgegensetzen. 

Kennen Sie den netten Witz aus der 
Netz-Frühzeit, in der Computer-Be- 
triebssysteme (DOS, Windows, Mac, 
Unix etc.) mit Fluglinien verglichen 


Buchbesprechung 


Dr. Martin Bahr: 

Recht des Adresshandels 

Erich Schmidt Verlag, 2011, 255 Seiten, 
ISBN 978-3-503-13060-3, 36,80 € 


(wh) 2009 wurden im Bundesda- 
tenschutzgesetz die Regelungen zum 
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Adresshandel geändert. Auch wenn 
die neuen Regelungen zu keinen Ein- 
schränkungen im Adresshandel führ- 
ten, sondern nur erweiterte Informa- 
tions- und Auskunftspflichten für die 
Adresshändler und Einkäufer von Ad- 
ressen einführten, führten die Änderun- 
gen zu einer gewissen Verunsicherung 
in der Branche. Hier setzt das Buch von 
Rechtsanwalt Dr. Martin Bahr an. Die 
Vorbemerkung darf getrost überblättert 
werden, dort finden sich solch gewagte 
Aussagen wie z.B. dass die Daten des 
Adresshändlers die Eigentumsgarantie 
des Art. 14 GG genießen würden. Un- 
berücksichtigt bleibt, dass dies für per- 
sonenbezogene Daten nur sehr bedingt 
— wenn überhaupt — gilt. Die Darstel- 
lung der konkreten Rechtslage für den 
Handel mit Adressdaten ist dagegen gut 
aufbereitet und mit diversen Beispie- 


wurden? Windows sieht nett aus, stürzt 
aber unvermittelt ab, bei Unix müssen 
die Fluggäste beim Bau des Flugzeugs 
selber mit anfassen. Bei der Apple Air- 
line sehen alle Angestellten gleich aus, 
egal ob Bodenpersonal, Pilot oder Ste- 
ward — man weiss nie, wen man gerade 
vor sich hat. Und wenn Sie bei Apple 
eine Frage haben, wie was funktioniert, 
dann klopft man Ihnen auf die Finger 
und sagt „Das brauchen Sie nicht wis- 
sen, das wollen Sie auch gar nicht wis- 
sen — und jetzt gehen Sie zurück an Ih- 
ren Platz und schauen einen Film.“ Die 
Grenze zwischen Nutzerfreundlichkeit 
und Bevormundung durch Technik ist 
bei Apple seit langem überschritten. 

So erscheint einem das Logo dieser 
Firma mit den smarten Gadgets nicht als 
die Frucht vom Baum der Erkenntnis, 
sondern eher als der vergiftete Apfel, der 
Schneewittchen von der bösen Königin 
untergejubelt wurde. Nein, wir wollen 
nicht jedes Mal vor dem In-den-Apfel- 
Beißen das Kleingedruckte lesen. Son- 
dern wir erwarten zu Recht, dass Obst 
mit Risiken und Nebenwirkungen aus 
dem Verkehr gezogen wird. 


Das Urteil ist auf S. 79 nachzulesen. 


len und Praxistipps erläutert. Dadurch 
ist es nicht nur Unternehmen möglich, 
sich im Bereich Adresshandel mög- 
lichst rechtssicher zu verhalten. Auch 
Verbraucher/innen und Verbraucher- 
schützer erhalten eine guten Überblick 
über rechtlich zulässige und unzulässi- 
ge Verhaltensweisen. Noch besser wäre 
das Buch allerdings, wenn der Autor 
auf seine lobbyistisch gefärbten politi- 
schen Aussagen verzichtet und sich auf 
die rechtliche Darstellung beschränkt 
hätte. 

Fazit: Unter der Berücksichtigung, 
dass dieses Buch aus Sicht eines „seit 
Jahren im gewerblichen Adresshandels 
tätigen“ Anwalts geschrieben wurde, 
stellt dieses Werk eine sehr anschauliche 
und ausführliche Darstellung des Rechts 
im Adresshandel dar, die auch zwei Jahr 
nach erscheinen aktuell ist. 
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Datenschutznachrichten aus Deutschland 


Bund 


Erste deutsche 
Verhaltensregeln nach 
8 38a BDSG bei der 
Versicherungswirtschaft 


Der Gesamtverband der Deutschen 
Versicherungswirtschaft (GDV) hat die 
am 02.11.2012 vom Berliner Beauftrag- 
ten für Datenschutz und Informations- 
freiheit (BlnBDI) anerkannten Verhal- 
tensregeln für die Datenverarbeitung in 
der Versicherungsbranche veröffentlicht. 
Der GDV ist damit der erste Verband in 
Deutschland, der erfolgreich der zustän- 
digen Aufsichtsbehörde seine Verhal- 
tensregeln nach $ 38a BDSG vorgelegt 
hat. Vorausgegangen waren dieser An- 
erkennung langwierige Verhandlungen 
des GDV mit der AG Versicherungswirt- 
schaft des Düsseldorfer Kreises (DK), 
dem Zusammenschluss der deutschen 
Datenschutzaufsichtsbehörden. An den 
Verhandlungen waren auch Vertreter von 
Versicherungsunternehmen und teilweise 
der Verbraucherzentrale Bundesverband 
(vzbv) beteiligt. 

Der Vorsitzende der GDV-Hauptge- 
schäftsführung Jörg von Fürstenwerth 
freute sich: „Der Schutz von Kunden- 
daten hat für uns oberste Priorität. Die 
neue Selbstverpflichtung konkretisiert 
erstmals die allgemeinen Regeln des 
Bundesdatenschutzgesetzes für die 
Versicherungswirtschaft und schafft 
Transparenz über die Datenverarbeitung 
in unserer Branche. So wollen wir das 
Vertrauen unserer Kunden in unterneh- 
mensinterne Abläufe weiter stärken. 
Die neue Selbstverpflichtung dokumen- 
tiert das gemeinsame Verständnis von 
Versicherungswirtschaft, Daten- und 
Verbraucherschützern über die Daten- 
schutzregeln für Versicherungen.“ Der 
Dialog mit den Daten- und den Verbrau- 
cherschützern solle über die aktuelle 
Selbstverpflichtung hinaus fortgesetzt 
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werden, um weitere gemeinsame Ant- 
worten auf noch offene Datenschutzfra- 
gen zu finden. Der BinBDI Alexander 
Dix hofft, dass andere Branchenverbän- 
de dem Beispiel des GDV folgen: „Von 
den Datenschutzbehörden geprüfte 
Selbstverpflichtungen sind ein sinnvol- 
ler Weg, allgemeine Datenschutzregeln 
branchenspezifisch auszufüllen. Dies 
wird auch im Kontext der künftigen Eu- 
ropäischen Datenschutz-Grundverord- 
nung eine wichtige Rolle spielen.“ 

Die Verhaltensregeln, denen die Versi- 
cherungsunternehmen einzeln beitreten 
müssen, enthalten ein umfangreiches 
Normenwerk mit 31 Artikeln. Von den 
Unternehmen wird u. a. Folgendes ab- 
verlangt: 


- Sie schreiben ein umfassendes Daten- 
schutz- und Datensicherheitskonzept 
vor. Darin werden die technischen und 
organisatorischen Maßnahmen be- 
schrieben, die das Unternehmen zum 
Schutz der Daten getroffen hat. 

Sie dokumentieren wichtige Daten- 

verarbeitungsvorgänge und machen 

so ihren Umgang mit personenbezo- 
genen Daten für die Datenschutzbe- 
hörden besser überprüfbar. 

- Sie informieren ihre Kunden über 
alle wichtigen Aspekte der Datenver- 
arbeitung. So müssen zum Beispiel 
Dienstleister, die für ein Unternehmen 
personenbezogene Daten verarbeiten, 
namentlich oder ihrer Berufsgruppe 
nach in einer Liste aufgeführt werden. 
Jeder Kunde kann die Liste im Internet 
einsehen oder sich zuschicken lassen. 


Die Unternehmen müssen in einer 
Frist von maximal drei Jahren ab Bei- 
tritt ihre Datenverarbeitung den neuen 
Anforderungen anpassen. Die Unter- 
nehmen, die sich zur Einhaltung der 
definierten Verhaltensregeln verpflichtet 
haben, werden demnächst auf der GDV- 
Homepage veröffentlicht. Die Verhal- 
tensregeln finden sich im Internet unter 


http://www.gdv.de/wp-content/up- 
loads/2013/03/GDV_Code-of-Con- 
duct_ Datenschutz _2012.pdf (GDV, PE 
v. 27.03.2013, Versicherungswirtschaft 
und Datenschützer schaffen neue Maß- 
stäbe für Datenschutz; ULD, 34. Tätig- 
keitsbericht, Kap. 5.1.3). 


Bund 


Videoeinsatz gegen 
Extremisten 


Aus einer Antwort des Bundesinnen- 
ministeriums (BMI) auf eine Kleine 
Anfrage der Linksfraktion im Bundes- 
tag geht hervor, dass das Bundesamt 
für Verfassungsschutz (BfV) seit den 
Terroranschlägen vom 11.09.2001 ins- 
gesamt 962 Personen aus dem islamisti- 
schen Milieu per Video überwacht hat. 
Aktuell würden vom BfV 20 mutmaßli- 
che Islamisten sowie Rechtsextremisten 
mittels Kamera ausgespäht. Das Bun- 
deskriminalamt hat danach in den ver- 
gangenen 12 Jahren 84 Personen per Vi- 
deo überwacht, um terroristische Straf- 
taten zu verhindern oder aufzudecken; 
es fanden April 2013 drei derartige 
Maßnahmen statt. Das BMI bestreitet, 
dass in seinem Zuständigkeitsbereich 
Verdächtige mit Anlagen überwacht 
werden, die biometrische Merkmale 
oder Verhaltensmuster von Menschen 
erfassen können. Der Antwort ist aber 
eine Liste beigefügt, wonach Behör- 
den, Unternehmen und Wissenschaft an 
mindestens sechs Projekten zu Biomet- 
rie und Verhaltensmustererkennung for- 
schen, was mit mehr als 13 Millionen 
Euro staatlich gefördert wird. Der Kom- 
mentar des Linkspartei-Abgeordneten 
Jan Korte: „Ich bin gespannt, wann 
Bundesinnenminister Hans-Peter Fried- 
rich erklärt: Niemand hat die Absicht, 
derartige Videoüberwachungsanlagen 
zu errichten“ (Der Spiegel 17/2013, 16; 
BT-Drs. 17/12704). 
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Bund 


Bahn nutzt Bonusdaten 
für Werbezwecke 


Die Deutsche Bahn will mit Daten 
ihrer Reisenden in Zukunft Geld ver- 
dienen: Informationen von Vielfahre- 
rInnen sollen für die Werbung anderer 
Unternehmen genutzt werden. Zu die- 
sem Zweck lässt sie sich seit Anfang 
2013 neue Vertragsbedingungen von 
solchen BahnCard-InhaberInnen bestä- 
tigen, die auch Bahn-Bonus-KundInnen 
sind. Künftig sollen diese auf ihre „in- 
dividuellen Bedürfnisse“ zugeschnittene 
Werbeangebote erhalten - von Koopera- 
tionspartnern wie Banken, Versicherun- 
gen oder Fast-Food-Ketten. 

Die Daten, die die Bahn für ihre 
passgenaue Werbung erhebt, sind der 
Preis der Fahrkarte, Abgangs- und 
Zielbahnhof, die Wagenklasse und die 
Verkaufsstelle. Der für die Bahn zu- 
nächst für zuständig angesehene Berli- 
ner Datenschutzbeauftragte Alexander 
Dix sagte zu, den Vorgang zu prüfen: 
„Hier scheint die Bahn ihre Interessen 
über die schutzwürdigen Interessen ih- 
rer Kunden zu stellen.“ Thilo Weichert, 
Datenschutzbeauftragter in Schleswig- 
Holstein, prognostizierte: „Die Teilnah- 
me an dem Programm darf nicht davon 
abhängig gemacht werden, ob ich der 
Werbenutzung zustimme oder nicht. Die 
Bahn wird sich damit eine blutige Nase 
holen.“ 

Die Bahn wies die Darstellung der 
Presse zurück. Die Bahn betreibe „kei- 
nen Datenhandel“, sagte zwar die Bahn- 
Datenschutzchefin Chris Newiger. Und 
in einer Presseerklärung heißt es: „Die 
DB gibt bislang keinerlei Kundendaten 
zu Marketingzwecken an Dritte wei- 
ter und plant dies auch künftig nicht.“ 
Daten von Bahn-Bonus-Kunden könn- 
ten auch zu Marketingzwecken ge- 
nutzt werden, dieser Nutzung könnten 
die Kunden aber „selbstverständlich“ 
widersprechen. Das Bahn-Bonus-Pro- 
gramm entspreche „voll und ganz“ dem 
Bundesdatenschutzgesetz (BDSG), er- 
klärte der Konzern in einer Pressemit- 
teilung. Damit machte die Bahn offen- 
sichtlich auch schon ihre Kehrtwende. 
Im Infoblatt oder sonstigen Hinweisen 
der Bahn ist vom Widerspruchsrecht 
keine Rede. 
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In Antwortschreiben an Betroffenen, 
die der Werbenutzung nach $ 28 Abs. 4 
BDSG widersprachen, teilte kurz vorher 
der Bahnbonus-Service noch mit: „Die 
Änderung der bahn.bonus-Bedingungen 
war notwendig, um Ihnen auch weiter- 
hin auf Ihre individuellen Bedürfnisse 
ausgerichtete Angebote und Vorteile un- 
terbreiten zu können. Das bedeutet, dass 
wir Ihre personenbezogenen Reisedaten, 
die durch das Punktesammeln gespeichert 
werden, für Marketingzwecke nutzen 
dürfen. Sollten Sie sich vom bahn.bonus- 
Programm abmelden, werden sämtliche 
bisher von Ihnen gesammelten Prämien- 
und Statuspunkte gelöscht und es können 
keine neuen Prämien- und Statuspunkte 
gesammelt werden. Wir bitten Sie um 
Verständnis, dass wir Ihnen diese - auf 
Ihren Wunsch - gelöschten Punkte nicht 
wieder gutschreiben können.“ Die Prü- 
fung des Vorgangs ergab, dass hierfür die 
DB Fernverkehr AG mit Sitz in Frankfurt 
verantwortlich ist, weshalb der Hessische 
Datenschutzbeauftragte (HDSB) letztlich 
bekannt gab, die Bahn habe zunächst 
„nicht hinreichend klar kommuniziert“, 
dass ein Widerspruch gegen die Verwen- 
dung der Daten für Werbezwecke jeder- 
zeit möglich sei. Die DB Fernverkehr AG 
habe auf Anregung des HDSB „die Trans- 
parenz für die Kunden inzwischen herge- 
stellt“. Die neuen Bedingungen für das 
Bonus-Programm sollen ab Dezember 
2013 auch tatsächlich umgesetzt werden. 

Zweimal erhielt der Bahn-Konzern 
schon einen Big-Brother-Award. Be- 
reits im ersten Jahr der Preisverleihung 
im Jahr 2000 war die Bahn negativ auf- 
gefallen und prämiert worden für ihre 
flächendeckende Videoüberwachung 
auf Bahnhöfen (DANA 42000, 9f.). 
Sieben Jahre später hatte der Konzern 
seine BahnCard-KundInnen verpflich- 
tet, ein Foto zu liefern und ihr Geburts- 
datum anzugeben. In die BahnCard 100 
war ohne Wissen ihrer Inhabenden ein 
RFID-Chip eingebaut worden (DANA 
4/2007, 164ff.), worauf die Bahn inzwi- 
schen immerhin hinweist (Klawitter, 
Der Spiegel 12/2013, 74; Öchsner, Bahn 
will mit Kunden-Daten Geld verdienen, 
SZ 18.03.2013, 1; Stüben, Bahn will 
Kundendaten nutzen, KN 19.03.2013, 
11; PM HDSB 04.04.2013, Kundenda- 
tenverarbeitung beim Bahn-Bonus-Pro- 
gramm der Deutschen Bahn ist daten- 
schutzkonform). 


Bund 


BMI kauf Quellen-TKÜ- 
Software 


Das Beschaffungsamt des Bundesmi- 
nisteriums des Innern (BMI) hat nach 
Presseangaben für 147.000 Euro Soft- 
ware zur Durchführung von Abhör- 
maßnahmen bei der Internet-Telefonie 
(Quellen-TKÜ) eingekauft. Das Amt hat 
demgemäß eine Lizenz für zehn Com- 
puter von Firma Elaman/Gamma mit 
Sitz in München erworben. BMI und 
das Bundeskriminalamt (BKA) bestätig- 
ten die Transaktion. Derweil meint der 
Generalbundesanwalt Harald Range, 
dass derzeit keine ausreichende Rechts- 
grundlage für den Einsatz einer solchen 
Software vorliegt. 

Der Einkauf der Elaman-Software 
soll die Zeit überbrücken, in der eine 
vom BKA selbst entwickelte Software 
nach einem aufwändigen Qualitätssi- 
cherungsprozess (QSP) zum Einsatz bei 
der Überwachung von Internet-Telefo- 
naten gelangen kann. Diese Software 
soll nicht vor Ende 2014 verfügbar sein. 
Die Software der umstrittenen Münche- 
ner Firma wird von Beratern der Firma 
CSC geprüft. Ein vorzeitiger Kauf einer 
Lizenz für zehn Computer deutet auf 
aktuelle Überwachungsmaßnahmen hin, 
bei denen das BKA offenbar Eile hatte, 
den Mitschnitt von Internet-Telefonaten 
durchzuführen (Borchers, Innenministe- 
rium kauft Software für Quellen-TKU, 
www.heise.de 02.05.2013). 


Bund 


Anträge auf Stasi- 
Akteneinsicht nehmen 
weiter zu 


Der Bundesbeauftragte für die Sta- 
si-Unterlagen Roland Jahn erklärte 
anlässlich der Vorstellung seines 11. 
Tätigkeitsberichttes am 12.03.2013, 
dass im Jahr 2012 die Anträge auf per- 
sönliche Einsicht in Stasi-Papiere auf 
88.231 gestiegen sind. Dies waren ca. 
7.200 Anträge mehr als 2011. 10% der 
Erstanträge kommen von Familienan- 
gehörigen Verstorbener. Jahn meinte, 
es gebe heute ein steigendes Interes- 
se einer neuen Generation, die frische 
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Fragen stelle. So wollten erwachsene 
Kinder wissen, weshalb Eltern mitge- 
macht oder sich angepasst hätten und 
welche Lehren in dieser Vergangenheit 
stecken (vgl. DANA 1/2011, 16; 11. Tä- 
tigkeitsbericht, BT-Drs. 17/12600; SZ 
13.03.2013, 6; http://www.bstu.bund.de 
12.03.2013). 


Bund 


AfD-Wahl- und 
Spendenwerbung mit 
fremden Daten 


Die neue Anti-Europa-Partei „Alter- 
native für Deutschland“ (AfD) hat zur 
Finanzierung ihres Wahlkampfes zur 
Bundestagswahl 2013 einen „Arbeits- 
kreis Fundraising‘ eingerichtet, der mit 
Mailing-Aktionen Spenden aquiriert. 
AfD-Schatzmeister Norbert Stenzel: 
„Als Mitglied im CDU-Wirtschaftsrat 
habe ich ein dickes Verzeichnis mit Mit- 
gliederadressen.‘“ Diese sollen genutzt 
werden. Unionsfraktionsvize und Präsi- 
diumsmitglied im CDU-Wirtschaftsrat 
Michael Fuchs empörte sich über die- 
sen „Datendiebstahl“: „Kein Mitglied 
darf Daten für private Zwecke nutzen, 
schon gar nicht für eine andere Partei.“ 
Die AfD will auch ihre Kontakte in Ar- 
beitgeberverbänden und Industrie- und 
Handelskammern (IHK) nutzen. Stenzel 
kündigte an, die internen Wahllisten für 
die Vollversammlungen der IHK auszu- 
werten. Ein Sprecher des Industrie- und 
Handelskammertages warnte, man wer- 
de konkreten Hinweisen auf Datenmiss- 
brauch nachgehen. Im April 2013 hatte 
die AfD schon 600.000 Euro an Geldern 
beschafft (Der Spiegel 17/2013, 13). 


Bayern 


Innenminister will mehr 
Videokontrolle im ÖPNV 


Der bayerische Innenminister Jo- 
achim Herrmann (CSU) fordert eine 
flächendeckende Videoüberwachung 
des öffentlichen Nahverkehrs in allen 
Großstädten: „Die Fahrgäste erwarten 
ein hohes Maß an Sicherheit.“ Als Vor- 
bild nannte Herrmann die Landeshaupt- 
stadt München, in der die öffentlichen 
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Verkehrsmittel am umfangreichsten mit 
Kameras ausgestattet seien. In Mün- 
chen seien kaum noch S-Bahnen ohne 
Videokameras im Einsatz. Als Negativ- 
Beispiele nannte er die Städte Augs- 
burg, Regensburg, Ingolstadt, Fürth und 
Erlangen, in denen nicht einmal in den 
Hauptbahnhöfen Kameras installiert 
seien. Für diese Versäumnisse machte 
er die Bahn verantwortlich, von der er 
mehr Engagement einforderte. 

In den vergangenen fünf Jahren ist 
die Videoüberwachung im Freistaat 
stark ausgeweitet worden, insbesonde- 
re im öffentliche Personennahverkehr 
(ÖPNV). Nach Ansicht von Innenmi- 
nister Herrmann trägt die Videoüberwa- 
chung dazu bei, die BürgerInnen besser 
vor Kriminalität zu schützen und ihr 
„subjektives Sicherheitsgefühl“ zu stär- 
ken. „Die Videoüberwachung schreckt 
potenzielle Täter ab, verbessert und 
beschleunigt nötige Hilfe und erleich- 
tert Ermittlungen.“ Schon nach dem 
tödlichen Angriff auf Dominik Brun- 
ner im Jahr 2009 auf dem Münchner S- 
Bahnhof Solln verlangte Herrmann die 
„lückenlose Überwachung“. In Folge 
haben Freistaat und Verkehrsbetriebe 
Millionen mit unterschiedlichem Erfolg 
in die Überwachungsanlagen des Nah- 
verkehrs investiert. Von den insgesamt 
148 S-Bahnhöfen im Raum München 
sind bislang nur 18 mit Kameras aus- 
gerüstet. Die Züge dagegen sind nahezu 
komplett mit Videokameras ausgestat- 
tet, die das Geschehen aufzeichnen. Die 
U-Bahnhöfe sind komplett überwacht, 
in 108 der 576 Züge hängen Kameras. 
In Nürnberg und Fürth wird die U-Bahn 
komplett überwacht, von den 22 S- 
Bahnhöfen sind lediglich zwei mit Vi- 
deotechnik ausgestattet. Von den etwa 
1.200 Bussen, die in Bayerns Großstäd- 
ten fahren, ist nicht einmal ein Drittel 
videoüberwacht. Herrmann empfiehlt 
den Kommunen, bei Neuanschaffungen 
künftig Videoanlagen mitzubestellen. 

Hermann forderte zudem von der 
Deutschen Bahn, mehr Geld in die Si- 
cherheit der Bahnhöfe zu investieren. 
Der versuchte Bombenanschlag auf den 
Bonner Hauptbahnhof im Dezember 
2012 habe gezeigt, dass man im Öffent- 
lichen Nahverkehr „jederzeit mit Terror- 
akten‘“ rechnen müsse. Zwar waren in 
Bonn Kameras installiert, jedoch keine 
Aufzeichnungen gemacht worden. Herr- 


mann nannte dies unbefriedigend. „Ich 
erwarte von der Bahn, dass eine Auf- 
zeichnung in der Größenordnung von 72 
Stunden stattfindet.“ Als Beleg für den 
Erfolg der Videoüberwachung führte 
Herrmann rückläufige Kriminalitätszah- 
len in München an. So sei die Zahl der 
Straftaten im Nahverkehr in den vergan- 
genen zehn Jahren um fast 30% auf etwa 
10.000 Delikte gesunken. Auch die Ge- 
walt nahm ab; die Zahl der Vorfälle sank 
um 14%. Bayernweit registrierte die Po- 
lizei im Nahverkehr 2012 knapp 15.000 
Straftaten, 27% weniger als noch 2002. 
Welchen Beitrag die Videoüberwachung 
dazu tatsächlich geleistet hat, ist unklar. 
Im Februar 2013 sah sich das Innenmi- 
nisterium auf eine Anfrage der Grünen 
nicht in der Lage, eine statistisch beleg- 
bare Aussage darüber zu treffen, ob eine 
„Videoüberwachung kausal für die Auf- 
klärung bzw. Verhinderung einer Straf- 
tat oder ermittlungsunterstützend war“. 
Polizei und Sicherheitsdienste haben 
in den vergangenen Jahren ihre Einsät- 
ze in Bussen, Tram-, U- und S-Bahnen 
deutlich verstärkt. Münchens Polizei- 
Vizepräsident Robert Kopp erklärte: 
„Das Sicherheitskonzept funktioniert 
sehr gut.“ Die Videoüberwachung sei 
dann besonders hilfreich, wenn es dar- 
um gehe, Straftäter zu ermitteln. 

Kritik an Herrmanns Vorstoß kam 
vom Bayerischen Landesbeauftragten 
für Datenschutz Thomas Petri: „Ich hal- 
te eine flächendeckende Überwachung 
des öffentlichen Nahverkehrs für be- 
denklich. Diese Politik mag vor dem 
Hintergrund diverser öffentlichkeits- 
wirksamer Straftaten verständlich sein.“ 
Er bezweifelt aber, ob ein solcher Ein- 
griff wirklich erforderlich ist. Auch die 
Grünen im Bayerischen Landtag halten 
den neuerlichen Vorstoß des Innenmi- 
nisters für überzogen, so die innenpoli- 
tische Sprecherin der Grünen, Susanna 
Tausendfreund: „An Brennpunkten sind 
Kameras samt Aufzeichnung ja gege- 
benenfalls noch vertretbar, aber doch 
nicht flächendeckend in allen Zügen, 
jedem Bus, jeder Tram und an jeder 
Haltestelle.“ Die SPD wirft Herrmann 
dagegen vor, zu lange untätig gewesen 
zu sein. SPD-Fraktionschef Markus 
Rinderspacher sagte: „Am Abend wer- 
den die Faulen fleißig.“ Der Ausbau 
der Videoüberwachung im Nahverkehr 
hätte längst weiter fortgeschritten sein 
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können. Laut einem Regierungsbericht 
sind im Freistaat 17.000 Kameras bei 
öffentlichen Stellen im Einsatz. Ob an 
Schulen, Wertstoffhöfen, Mehrgenera- 
tionenhäusern oder in Bussen - es gibt 
kaum noch unbeobachtete Orte des öf- 
fentlichen Lebens (Szymanski, Mehr 
Videoüberwachung in den Zügen, SZ 
04.04.2013, 40). 


Berlin 


CDU-Plattform beschaffte 
unzulässig Werbedaten 


Eine Mitmach-Kampagne der CDU 
im Internet („Was mir am Herzen liegt“) 
verstieß nach Ansicht von Datenschüt- 
zern gegen das Datenschutzgesetz. Auf 
der Website Regierungsprogramm. 
CDU.de wurden Parteimitglieder und 
BürgerInnen bis Ende April 2013 auf- 
gerufen, am Regierungsprogramm mit- 
zuschreiben. Wie bei Online-Umfragen 
üblich gibt es auf der Seite eine Erklä- 
rung, über die die Userln in die Speiche- 
rung ihrer Daten einwilligt. Das Einver- 
ständnis zur Datenspeicherung war ge- 
koppelt an das Einverständnis, Werbe- 
material der Partei zu akzeptieren: „Ich 
bin mit der Erhebung, Speicherung und 
Nutzung der vorstehenden personenbe- 
zogenen Daten sowie der besonderen 
Daten ($ 3 Abs. 9 BDSG z.B. politische 
Meinungen) einverstanden. Die Daten 
werden von der CDU Deutschlands, 
ihren Gliederungen, Vereinigungen und 
Sonderorganisationen für die Übersen- 
dung von Einladungen und Informati- 
onsmaterial - auch per E-Mail - genutzt. 
Eine sonstige Weitergabe an Dritte fin- 
det nicht statt. Dieses Einverständnis 
kann jederzeit mit Wirkung für die Zu- 
kunft widerrufen werden.“ 

Aus Sicht von Datenschützern ist die 
Datenspeicherung für Werbezwecke 
nicht in Ordnung, so zZ. B. der Daten- 
schutzbeauftragte von Schleswig-Hol- 
stein Thilo Weichert: „Im politischen 
Bereich ist ein solches Verfahren un- 
gewöhnlich. Die Möglichkeit, einen 
Widerspruch gegen die Werbenutzung 
einzulegen, ist unbedingt gesetzlich ga- 
rantiert. Es geht also nicht, dass erst mal 
das Akzeptieren einer Werbenutzung 
technisch erzwungen und danach die 
Möglichkeit zum Widerspruch einge- 
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räumt wird. Aus datenschutzrechtlicher 
Sicht muss man das eine vom anderen 
trennen, damit der User mitmachen 
kann - aber trotzdem die Option hat, auf 
Werbematerial und Einladungen zu ver- 
zichten.“ Weicherts Kollege Alexander 
Dix, Beauftragter für Datenschutz und 
Informationsfreiheit in Berlin, kündigte 
eine Prüfung an: „Es wird auf den ersten 
Blick nicht ersichtlich, was mit den be- 
reits eingegebenen Daten passiert, wenn 
der Nutzer die Einverständniserklärung 
ablehnt. Werden diese unverzüglich ge- 
löscht - oder im Hintergrund auf dem 
Server gespeichert? Auch das gilt es 
aufzuklären.“ Zwar konnte jede UserIn 
die Datenschutzbestimmung einfach ab- 
lehnen. Tat Sie das, wurde sie jedoch mit 
einem Pop-up-Fenster aufgefordert, der 
Erklärung zuzustimmen. Nur dann war 
das Mitmachen möglich. 

Der IT-Jurist Nikolaus Forgö meinte: 
„Hier wird die Einwilligung der Daten- 
speicherung mit dem Akzeptieren einer 
Werbenutzung verknüpft. Ein Wider- 
spruch ist nur nachträglich möglich.“ 
Das verstoße gegen das sogenannte 
Kopplungsverbot. Demnach ist die Ver- 
knüpfung eines Vertragsabschlusses 
mit der Einwilligung der Datennutzung 
zu Werbezwecken weitestgehend un- 
zulässig ($ 28 Abs. 3b BDSG). Zwar 
greife das Gesetz unmittelbar nur beim 
Abschluss eines Vertrags mit einem pri- 
vaten Akteur. Das sei bei der Mitmach- 
plattform, auf der Leute ihre politische 
Meinung abgeben und nichts käuflich 
erwerben, nicht der Fall. „Aber der 
Rechtsgedanke, der dahinter steht, ist 
klar: Eine Verknüpfung von beidem ist 
wohl rechtswidrig. Der User muss die 
Möglichkeit haben, Werbung abzuleh- 
nen und sich trotzdem politisch betei- 
ligen zu können.“ Das hier angewen- 
dete Verfahren habe „mit Freiwilligkeit 
nichts mehr zu tun“. In der CDU-Par- 
teizentrale sah man darin kein Problem 
und betonte, „Einladungen und Informa- 
tionsmaterial‘“ seien nicht mit Parteiwer- 
bung gleichzusetzen. „Bei der verwen- 
deten Einverständniserklärung handelt 
es sich um eine Standard-Formulierung, 
die wir auf vielen unserer Parteiportale 
benutzen“. Man wolle „die Mitmachen- 
den auch über den Fortgang der Aktion 
auf dem Laufenden“ halten. Die CDU- 
Zentrale ließ nach der Kritik in der Öf- 
fentlichkeit eine Kleinigkeit auf dem 


Portal anpassen: Der ursprüngliche Ja/ 
Nein-Button zur Datenschutzerklärung 
wurde zu einem einzigen Button ver- 
schmolzen; die Erklärung tauchte direkt 
unter dem Feedback-Feld auf. Der Wort- 
laut blieb derselbe (Meiritz, Datenschüt- 
zer kritisieren neue CDU-Plattform, 
www.spiegel.de 15.03.2013; Meiritz, 
Das Märchen von der Mitmach-CDU, 
www.spiegel.de 15.03.2013). 


Hessen 


Landespolizeidrohne im 
Einsatz 


Aus einem Schreiben der hessischen 
Staatskanzlei an den Landtagsabgeord- 
neten der Grünen Jürgen Frömmrich 
geht hervor, dass die Überwachungs- 
drohne der Landespolizei bisher in elf 
Fällen eingesetzt worden ist. Der Abge- 
ordnete hatte sich 2012 mit Innenminis- 
ter Boris Rhein (CDU) über die Frage 
gestritten, wie viele Informationen über 
das ferngesteuerte, einem kleinen Hub- 
schrauber ähnelnde und mit einer Kame- 
ra ausgestattete Gerät die breite Öffent- 
lichkeit bekommen dürfe. Der Innenmi- 
nister hatte damals lediglich bestätigt, 
dass das Land Hessen im Jahr 2009 ein 
„unbemanntes Luftfahrtsystem“ zum 
Preis von rund 38.000 Euro angeschafft 
habe. Ähnliche Überwachungssyste- 
me besitzen auch die Polizeikräfte in 
Berlin, Sachsen und Niedersachsen so- 
wie die Bundespolizei. Angaben zu der 
Zahl und zur Art der bisherigen Einsätze 
wollte Rhein damals „aus einsatz- und 
ermittlungstaktischen Gründen“ nicht 
machen. Frömmrich hatte bezweifelt, 
dass Eingriffe in die Privatsphäre, wie 
sie mit Drohnen möglich seien, auf ei- 
ner sicheren rechtlichen Grundlage ge- 
schähen. 

Der Chef der Hessischen Staatskanz- 
lei Axel Wintermeyer (CDU) hat jetzt 
eine Anfrage des Landtagsabgeordneten 
beantwortet und mitgeteilt, dass Hinter- 
grund des Drohneneinsatzes in einem 
Fall ein Tötungsdelikt gewesen sei; bei 
den anderen Einsätzen sei esum Rocker- 
kriminalität, Waffenhandel, Banden- 
diebstahl und Drogenhandel gegangen. 
Nach Wintermeyers Angaben diente das 
unbemannte Gerät in den genannten elf 
Fällen dazu, „potentielle Zielobjekte 
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polizeilicher Exekutivmaßnahmen“ und 
sogenannte Betäubungsmittelplantagen 
auszuspähen. Der Einsatz sei nur bei 
Spezialeinsätzen in besonderen Lagen 
erlaubt. Dazu zählten bestimmte Gefah- 
rensituationen, Entdeckungsrisiken und 
schwer zugängliche Einsatzräume. Der 
frühere Landespolizeipräsident Norbert 
Nedela habe zuvor etwas anderes an- 
gekündigt, kommentierte Frömmrich. 
Darum habe er die Befürchtung gehabt, 
dass die Drohne auch bei Großveranstal- 
tungen und Demonstrationen eingesetzt 
werde, wie dies in Niedersachsen der 
Fall gewesen sei. Trotz einer gewissen 
Beruhigung beklagte er, dass ein mo- 
natelanger Schriftwechsel nötig gewe- 
sen sei, um die nötige parlamentarische 
Kontrolle auszuüben (Hetrodt, Polizei- 
Drohne war elfmal im Einsatz, www. 
faz.net 27.03.2013). 


Niedersachsen 


Vorwurf der 
Mitarbeiterüberwachung 
beim ADAC 


Die ehemalige IT-Leiterin im fünft- 
größten der 18 deutschen ADAC-Gaue, 
Marion Wille, 40, gibt an, sie habe im 
Auftrag des dortigen ADAC-Geschäfts- 
führers Hans-Henry Wieczorek und 
anderer Führungskräfte den E-Mail- 
Verkehr von MitarbeiterInnen und spe- 
ziell von BetriebsrätInnen beim ADAC 
Niedersachsen/Sachsen-Anhalt ausspi- 
oniert. Ziel sei es gewesen, belastendes 
Material vor allem gegen die Arbeitneh- 
mervertreter und Informationen über 
deren Arbeit zu finden und zu sammeln. 
Nachdem sich Wille im Februar 2013 
dem Betriebsrat offenbart hatte, stellte 
dieser Strafanzeige. Die Staatsanwalt- 
schaft Hannover sieht nach den Worten 
ihres Sprechers „einen begründeten An- 
fangsverdacht“ und hat ein Ermittlungs- 
verfahren eingeleitet, das sich gegen den 
Geschäftsführer richte. Die Geschäfts- 
führung des ADAC-Gaus erhielt einen 
Monat Zeit, auf die vom Betriebsrat vor- 
gebrachten zahlreichen Vorwürfe zu re- 
agieren. Sollten sich die Vorwürfe gegen 
die ADAC-Leitung bestätigen, drohen 
den Betroffenen bis zu einem Jahr Haft. 

Klaus Kocks, Sprecher des ADAC- 
Gaus, wies die Spitzelvorwürfe zurück: 
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„Eine Anweisung zur Ausforschung 
hat es seitens der Geschäftsführung zu 
keinem Zeitpunkt und in keiner Form 
gegeben. Das Ganze ist ein niederträch- 
tiges Geflecht aus Halbwahrheiten und 
glatten Lügen.“ Der Autoclub werde 
sich zur Sache nicht äußern, bis das Er- 
mittlungsverfahren abgeschlossen sei. 
Detaillierte Fragen der Presse ließen 
der ADAC Niedersachsen/Sachsen-An- 
halt und sein Geschäftsführer deshalb 
unbeantwortet. Stattdessen warnte de- 
ren Anwalt, eine Berichterstattung über 
die Vorgänge wäre rechtswidrig. Die 
Spitzelvorwürfe sind auch Gegenstand 
arbeitsgerichtlicher Verfahren. Wille 
gibt an, nach einem ADAC-kritischen 
Artikel in einer Boulevardzeitung im 
April 2009 habe der Geschäftsführer 
sie beauftragt, den E-Mail-Verkehr von 
Mitarbeitern nach bestimmten Schlüs- 
selwörtern zu durchforsten, um etwaige 
Informanten der Zeitung zu enttarnen. 
Aus vertraulichen Unterlagen geht fer- 
ner hervor, dass die IT-Chefin im Sep- 
tember 2009 dafür sorgen sollte, dass 
E-Mails des damaligen Pressesprechers 
des ADAC-Gaus künftig automatisch 
und heimlich auch an die Geschäfts- 
führung gingen. 

Später, gibt Wille an, sei sie unter an- 
derem vom Geschäftsführer angewie- 
sen worden, die E-Mail-Korrespondenz 
des Betriebsrates zu bespitzeln: „Man 
wollte sehen, mit wem der Betriebsrat 
kommuniziert und was er vorhat.“ Sie 
bedauert ihr Verhalten und sagt, sie 
fühle sich von der Geschäftsführung 
„als Spitzel instrumentalisiert“. Ste- 
phan Korb, Anwalt von Wille sowie des 
Betriebsrates, erläuterte das Verhalten 
der IT-Leiterin: „Es wurde suggeriert, 
dass derjenige, der gegen den Betriebs- 
rat vorgeht, eine gute Tat am ADAC 
begeht.“ Die Spitzel-Ermittlungen sind 
ein Höhepunkt in den jahrelangen Aus- 
einandersetzungen beim ADAC Nie- 
dersachsen/Sachsen-Anhalt. Von der 
Geschäftsführung gebe es, so Anwalt 
Korb, „ständige Attacken, die wir als 
massive Behinderungen der Betriebs- 
ratsarbeit werten. Seit dem Amtsantritt 
von Geschäftsführer Wieczorek, eines 
früheren Managers beim Mitteldeut- 
schen Rundfunk, gab es in fünf Jahren 
92 arbeitsgerichtliche Auseinanderset- 
zungen - bei etwa 140 Beschäftigten. 
Viele Mitarbeiter haben den Regional- 


club verlassen, etliche davon unfrei- 
willig. Auch der seit Oktober 2011 er- 
krankten IT-Leiterin wurde nach ihren 
Spitzelvorwürfen gekündigt. 

Aus den Reihen der ehrenamtlich 
Aktiven beim ADAC wurde Kritik laut. 
Burkhard Scheunert, bis Dezember 
2011 sechs Jahre lang Vorstandsmit- 
glied des Gaus Niedersachsen/Sach- 
sen-Anhalt meinte: „Der Geschäftsfüh- 
rer macht, was er will, und der Vorstand 
macht alles mit, weil der Geschäftsfüh- 
rer ihn fest im Griff hat.“ Ex-IT-Lei- 
terin Wille wirft dem Geschäftsführer 
außerdem vor, sie im Juni 2010 und im 
April 2011 in sein Wohnhaus bestellt zu 
haben, um sie privat für sich an seinem 
PC arbeiten zu lassen. Spitzelvorwür- 
fe im ADAC gab es auch in der Ver- 
gangenheit. 2011 wurde bekannt, dass 
in der Nürnberger Zentrale des Gaus 
Nordbayern Abhöranlagen gefunden 
wurden, mit denen Büros und Sitzungs- 
räume bespitzelt werden konnten. Wer 
diese angebracht hatte, blieb unklar 
(vgl. DANA 2/2011, 78f£., Ritzer, Aus- 
spioniert, SZ 21.03.2013, S. 1/; Justiz 
ermittelt gegen ADAC Niedersachsen, 
www.rp-online.de 21.03.2013). 


Niedersachsen 


Anonyme 
Reinheitschecks für 
Drogen geplant 


Nach Berlin und Schleswig-Holstein 
plant nun Niedersachsens Gesundheits- 
ministerin Cornelia Rundt (SPD) das 
Angebot eines anonymen Drug-Checks. 
SPD und Grüne hatten im Februar 2013 
im Koalitionsvertrag ein Modellprojekt 
angekündigt. Zunächst soll gemäß einer 
Ministeriumssprecherin geprüft wer- 
den, wie das Projekt juristisch sauber 
umgesetzt werden kann. Zum Zeitplan 
und den Einzelheiten könne sie daher 
noch nichts sagen. So sei noch unklar, 
ob staatliche oder private Stellen die 
Drogen testen und ob die Untersuchun- 
gen in einem mobilen Labor — etwa auf 
Musikfestivals und vor Diskotheken 
— oder in einer stationären Einrichtung 
stattfinden sollen. Rechtlich umstritten 
ist, ob die Testenden während der Un- 
tersuchung die Drogen besitzen und 
sich somit strafbar machen. Weil sie die 
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Rauschmittel nicht selbst konsumieren 
wollen, gilt wohl auch nicht die Aus- 
nahme für den Eigenbedarf. In den 90er 
Jahren ermittelte die Polizei gegen ein 
Berliner Drug-Checking-Projekt; die 
Staatsanwaltschaft erhob Anklage. Das 
Gerichtsverfahren wurde zwar nicht er- 
öffnet, doch wurden die anonymen Dro- 
gentests eingestellt. 

Heute gibt es in Deutschland keine 
derartigen Angebote. Die Geschäftsfüh- 
rerin vom Berliner Drogenhilfe-Verein 
Fixpunkt, Astrid Leicht, geht zwar da- 
von aus, „dass das grundsätzlich erlaubt 
ist“. Doch traue sich keine Einrichtung, 
Drug-Checking anzubieten. „Das recht- 
liche Risiko besteht einfach. Deswegen 
fordern wir eine Klarstellung im Bun- 
desgesetz.“ Nach ihrer Überzeugung 
gehe es ohne gesetzliche Änderungen, 
wenn sich die Akteure vor Ort einig sei- 
en. So könne es etwa in Berlin Abspra- 
chen geben, dass die Polizei nicht gegen 
die Tester ermittelt. An den Drogenkon- 
sumenten sei die Polizei ohnehin wenig 
interessiert, sie Konzentriere sich auf die 
Händler. Mobile Untersuchungslabors 
auf Großveranstaltungen seien sinnvoll. 
„Die sind zwar teurer, würden aber von 
mehr Menschen genutzt als stationäre 
Einrichtungen der Drogenhilfe.“ 

In Berlin ist die Regierung aus SPD 
und CDU der Meinung, dass die Dro- 
gentests nur mit einer Genehmigung 
des Bundesinstituts für Arzneimittel 
und Medizinprodukte zulässig seien, 
das dem FDP-geführten Gesundheits- 
ministerium unterstellt ist. Momentan 
sei eine Erlaubnis unwahrscheinlich. 
Bei der Bundesbehörde selbst heißt es, 
die Frage lasse sich „nur im Zusammen- 
hang mit einem konkreten Antrag beant- 
worten“. In Niedersachsen kritisiert die 
neue schwarz-gelbe Opposition das Mo- 
dellprojekt zum Drug-Checking, so die 
sozialpolitische Sprecherin der FDP- 
Fraktion, Sylvia Bruns: „Man kann die 
Drogen nicht verbieten und dann sagen: 
Der Staat zahlt dafür, dass die getestet 
werden.‘ Auch die CDU warnt vor einer 
suggerierten „Scheinsicherheit“. Astrid 
Leicht vom Fixpunkt-Verein akzeptiert 
dieses Argument nicht. Bei den geplan- 
ten Drogentests werde natürlich darauf 
hingewiesen, „dass es immer riskant 
ist, Drogen zu nehmen“ (Werdermann, 
Sind meine Drogen clean www.taz.de 
01.04.2013). 
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Nordrhein-Westfalen 
Mordmotiv: Datenschutz 


Ein 52jähriger Arbeitsloser ist am 
05.04.2013 vom Landgericht Düssel- 
dorf wegen heimtückischem Mord zu 
lebenslanger Haft verurteilt worden. Er 
hatte am 26.09.2012 Jahr seine Sachbe- 
arbeiterin im Jobcenter von Neuss, eine 
32jährige Mutter erstochen, weil er ihr 
unterstellte, seine persönlichen Daten 
zu missbrauchen. Des Deutschen kaum 
mächtig, habe er Tage zuvor eine Da- 
tenschutzerklärung missverstanden und 
fälschlich mit illegalem Datenhandel in 
Zusammenhang gebracht, über den er 
einen Fernsehbeitrag gesehen hatte. Der 
Vorsitzende Richter Rainer Drees: „Der 
Angeklagte verstand weder genau was, 
noch warum er unterschreiben sollte.“ 
Er habe die Erklärung schließlich auf 
Drängen eines anderen Sachbearbeiters 
unterschrieben, die lediglich die Weiter- 
gabe der Daten an potenzielle Arbeitge- 
ber regeln sollte. Am Tattag wollte er, so 
das Gericht, die Urheber des vermeintli- 
chen Datenhandels „zur Verantwortung 
ziehen“. Vergeblich habe der Bruder 
des 2001 aus Marokko eingewanderten 
Landwirts versucht, ihn zu beruhigen 
und von der „fixen Idee‘ des Datenmiss- 
brauchs abzubringen. 

Der Tat vorangegangen war, so der 
Vorsitzende, „ein Leben in zwei Wel- 
ten“. 2001 kam der Täter nach Deutsch- 
land. Die Heirat mit einer Deutschen 
verschaffte dem Vater von 5 Kindern ein 
Bleiberecht. Er kam aus einem Dorf mit 
mittelalterlichen Strukturen und habe 
den Koran auswendig gelernt, bevor er 
mit 16 Jahren 3 Jahre lang eine staatli- 
che Schule besuchte. Lese- und Schreib- 
fähigkeiten waren „äußerst dürftig“. Er 
fand Jobs, unterbrochen von Phasen lan- 
ger Arbeitslosigkeit. Dann zog er sich im 
8. Stock eines Wohnhochhauses in Neuss 
in seine „andere Welt“ zurück. Eine Tö- 
tungsabsicht bestritt der Täter, er sei bei 
der Tat „nicht bei Verstand gewesen“. 
Die Anwälte von Eltern, Ehemann und 
Sohn des Opfers hatten als Nebenkläger 
ebenso wie die Staatsanwaltschaft die 
verhängte Höchststrafe beantragt. Dage- 
gen hatten die Verteidiger die Tat nicht 
als Mord, sondern als Körperverletzung 
mit Todesfolge oder Totschlag gewer- 
tet. Sie kündigten Revision beim Bun- 


desgerichtshof an (Kieler Nachrichten 
06.04.2013, 11). 


Sachsen 


Spürhund sucht im 
Strafvollzug Mobiltelefone 


Der sechsjährige belgische Schäfer- 
hund Artus Airport Lübeck soll nach 
Angaben des sächsischen Justizminis- 
ters Jürgen Martens (FDP) die Vollzugs- 
anstalten „im Kampf gegen unerlaubte 
Handykommunikation unterstützen“ 
und „den Verfolgungsdruck bei den Ge- 
fangenen deutlich steigern.“ Zuvor hat- 
te der Hund an der Diensthundeschule 
das „Grundmodul Handyspürhund“ mit 
dem Prädikat befriedigend abgeschlos- 
sen. Nach Angaben des Ministers sind 
Mobiltelefone in den Gefängnissen 
des Freistaats „nicht ohne Grund nach 
Drogen die beliebteste Schmugglerwa- 
re“. Allein in sächsischen Haftanstalten 
wurden im Jahr 2012 mehr als 300 Han- 
dys sichergestellt, obwohl die Geräte in 
deutschen Gefängnissen strikt verboten 
sind. Manche Vollzugsanstalten ver- 
suchen dem Problem mit Störsendern 
beizukommen, was kostspielig und pro- 
blematisch ist. Der Empfang außerhalb 
der Justizvollzugsanstalten (JVA) darf 
durch die Handy-Blocker nicht erheb- 
lich gestört werden. Deshalb müssen 
viele verschiedene Sender mit geringer 
Leistung installiert werden. Dennoch 
gelingt diese Eingrenzung nicht im- 
mer. Zudem ist die teuere Technik zum 
Blockieren von UMTS-Signalen wenig 
nützlich, wenn das Handy eines Insas- 
sen über den neuen Standard LTE funkt. 
Mobiltelefone sind über die Jahre immer 
kleiner geworden und damit leichter zu 
verstecken. Mindestens zwei Stunden 
benötigen zwei Beamte, um eine Zelle 
gründlich zu durchsuchen. Artus soll es 
in fünf bis zehn Minuten schaffen. Seit 
November 2012 schnüffelt er zur Pro- 
be in seinem neuen Dienstsitz, der JVA 
Zeithain. Fünf Handys soll Artus dort 
bereits aufgetrieben haben. 

Wie genau Artus Fährte aufnimmt, ist 
selbst seinem Diensthundeführer und den 
Ausbildern noch nicht klar. Vermutlich 
konzentriere er sich auf einen „Mischge- 
ruch“ aus individuellen Anhaftungen am 
Gerät wie Schweiß, Haare und Schup- 
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pen sowie dem Eigenaroma elektrischer 
Geräte. Auf Erfahrungswerte können die 
Beamten bei der Klärung solcher Fragen 
nicht zurückgreifen. Es gibt Spürhunde, 
die auf Leichen, Schimmel oder sogar 
Krebsgeschwüre spezialisiert sind. Stef- 
fen Orthmann, Leiter Ausbildung und 
Prüfungswesen beim Bundesverband 
Wach- und Diensthunde (BVWD) meint: 
„Das ist mir ein bisschen suspekt, das ist 
schon sehr weit hergeholt.“ Allerdings 
überrascht es nicht, dass ausgerechnet 
Sachsen Pionierarbeit beim Apportieren 
leistet. Vor zwei Jahren war das Land das 
erste Mal mit seinem Tatendrang bei der 
Überwachung des Mobilfunks aufgefal- 
len: Beim Gedenken an die Zerstörung 
Dresdens im Februar 1945 erhoben die 
Behörden über eine Funkzellenabfra- 
ge 138.000 Verbindungsdaten von De- 
monstranten und auch von Unbeteiligten 
(vgl. DANA 3/2011, 119ff.; Pollmer, Das 
Aroma am Handy, SZ 16./17.03.2013, 1; 
www.sueddeutsche.de 16.03.2013). 


Schleswig-Holstein 


Anonyme 
Spurensicherung für 
Vergewaltigungsopfer 


Schleswig-Holstein wird wohl als ers- 
tes Bundesland eine flächendeckende 
anonyme Spurensicherung für verge- 
waltigte Frauen einführen. Eine entspre- 
chende Initiative der Piratenpartei sowie 
einen Zusatzantrag der Regierungsko- 
alition hat der Kieler Landtag an den 
Sozialausschuss überwiesen. Der Spre- 
cher des Sozial- und Gesundheitsmi- 
nisteriums Frank Strutz-Pindor meinte: 
„Im Prinzip herrscht Einigkeit, dass das 
Anliegen völlig berechtigt ist. Die Frage 
ist, wie flächendeckend ein hohes Ni- 
veau erreicht werden kann.“ 

Die Initialzündung hatte eine Fach- 
tagung des Landesverband Frauenbera- 


tung zum Thema „Streitsache Sexualde- 
likte — Frauen in der Gerechtigkeitslü- 
cke“ gegeben, wo den Parlamentariern 
vor Augen geführt wurde, dass Frauen, 
die Opfer sexualisierter Gewalt gewor- 
den sind, sehr oft erst ihren seelischen 
Ausnahmezustand verarbeiten und ihre 
Traumatisierung überwinden müssen, 
bevor es ihnen möglich ist, den Stress 
einer Anzeigenerstattung über sich er- 
gehen zu lassen. Piratenabgeordneter 
Wolfgang Dudda erläuterte: „Die so- 
fortige Anzeigenerstattung verlangt das 
erneute Durchleben der Tat gegenüber 
einer fremden Person, ohne die Tat see- 
lisch verarbeitet zu haben“. So sei auch 
zu erklären, dass nur ein Bruchteil der 
Fälle sexualisierter Gewalt gegen Frau- 
en über 16 Jahren zur Anzeige komme. 
Für eine spätere Verurteilung des Verge- 
waltigers seien Frauen oft auf die ihre 
Aussage stützenden Spuren angewiesen, 
wenn nicht später vor Gericht die Situa- 
tion „Aussage gegen Aussage“ eintreten 
solle oder sie mit entwürdigenden „Ver- 
gewaltigungsmythen“ wie Rache-Moti- 
ven konfrontiert werden möchten. Diese 
Spurensicherung muss i. d. R. binnen 24 
Stunden nach der Vergewaltigung erfol- 
gen. 

Diese „Gerechtigkeitslücke“ soll da- 
durch geschlossen werden, dass die 
Klinken im ganzen Land in die Lage 
versetzt werden, Spuren einer Vergewal- 
tigung wie DNA-Absonderungen, Sper- 
ma-Rückstände und Faserpartikel ano- 
nymisiert sicherzustellen. In den Städten 
Hamburg, Bremen und Hannover gibt es 
schon derartige Angebote. Die Spurensi- 
cherungssets kosten nach Auskunft der 
Polizei rund acht Euro. Der Gebrauch 
sei, so Dudda, durch die Polizei leicht 
vermittelbar. „Es müsste also nur eine 
Vereinbarung des Sozialministeriums 
mit den Krankenhäusern zur Kosten- 
übernahme abgeschlossen werden.“ 

Eine Vergewaltigung bedeutet für je- 
der Frau eine massive Verletzung ihrer 


Jetzt DVD-Mitglied werden: 


körperlichen Unversehrtheit im sensib- 
len Bereich ihrer sexuellen Selbstbe- 
stimmung. In besonders schweren Fäl- 
len, wenn eine Vergewaltigung mit dem 
Einsatz einer Waffe durchgesetzt wird, 
sieht das Gesetz eine Haftstrafe von bis 
zu zehn Jahren vor. 326 Vergewaltigun- 
gen sind in Schleswig-Holstein im Jahr 
2012 laut Innenministerium angezeigt 
worden. Bundesweit waren es um die 
12.000 Taten. Die Dunkelziffer liegt 
schätzungsweise 20-mal höher. 

Der Leiter des Instituts für Rechts- 
medizin am _ Universitätsklinikum 
Schleswig Holstein (UKSH) Professor 
Hans-Jürgen Kaatsch sicherte zu, mit 
seinem Team Schulungen der Ärzte an 
den Krankenhäuser vornehmen zu kön- 
nen. Die Lagerung der sichergestellten 
Körperspuren könnten mit einem chiff- 
rierten Code fachgerecht an den beiden 
UKSH-Standorten in Lübeck und Kiel 
erfolgen. „Die Hoheit über die Chiffre 
soll jedoch das Opfer haben“, so Dudda. 
„Die Möglichkeit der anonymen Spu- 
rensicherung schließt also die Gerech- 
tigkeitslücke. Wie viel leichter könnte 
ein Vergewaltigungsopfer in ein Straf- 
verfahren gehen, wenn es weiß, dass 
seine Tatdarstellung durch gesicherte 
Spuren untermauert sind.“ 

Die anonyme Spurensicherung und 
-lagerung erleichtert es auch Frauen, 
Vergewaltiger, die aus dem persönlichen 
Umfeld stammen — was immerhin in 
mehr 66% der Täter der Fall ist —, erst 
später anzuzeigen und vor Gericht zu 
bringen. Dudda: „Dann ist genügend 
Zeit gewesen, den sozialen Rückzug 
zu organisieren, so dass nicht auf ei- 
nen Schlag das gesamte soziale Gefüge 
einstürzt.“ Auch Ministeriumsprecher 
Strutz-Pindor hält eine „lebensnahe Lö- 
sung“ für unverzichtbar. „Über die ge- 
sicherten Spuren muss allein das Opfer 
entscheiden, was damit geschieht“ (von 
Appen, Spurensicherung ohne Brimbo- 
rıum, www.taz.de 01.04.2013). 


www.datenschutzverein.de 
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Datenschutznachrichten aus dem Ausland 


Europa 


„Smart Borders“ 
- elektronische 
Grenzüberwachung 


Die Kommission der Europäischen 
Union (EU) hat ihre Pläne für ein Ein- 
und Ausreisesystem nach US-Vorbild 
und ein Vorzugsprogramm für Vielrei- 
sende konkretisiert. Am 28.02.2013 
stellte Innenkommissarin Cecilia Malm- 
ström in Brüssel einen Verordnungs- 
entwurf „Smart Borders“ vor, wonach 
AusländerInnen sich künftig mit allen 
zehn Fingerabdrücken bei der Einreise 
in die EU von der Grenzkontrolle regis- 
trieren lassen müssen. Außerdem sollen 
Zeitpunkt und Ort der Einreise und Aus- 
reise von Drittstaatsangehörigen erfasst 
werden. Die Kosten für das Paket sind 
mit 1,1 Mrd. Euro veranschlagt. Der 
Entwurf würde nach der Verabschie- 
dung durch das EU-Parlament und den 
EU-Rat direkt in allen Mitgliedsstaaten 
rechtsgültig (COM(2013)95, 97 final, 
BR-Drs. 180/13). 

Das neue elektronische System soll 
die zulässige Dauer eines Kurzaufent- 
halts automatisch berechnen und ei- 
nen Warnhinweis an die nationalen Si- 
cherheitsbehörden erzeugen, wenn die 
oder der Betreffende bis zum Ablauf 
der Aufenthaltsdauer nicht ausgereist 
ist, insbesondere bei Kurzzeitvisa. Die 
Mitgliedsstaaten stützen sich bislang 
bei der Kontrolle von Angehörigen aus 
Drittstaaten vor allem auf die in einem 
Reisedokument eingetragenen Stem- 
pel; das erscheint der Kommission zu 
zeitraubend und unzuverlässig. Zudem 
könne der „ständig wachsende Strom 
von Reisenden in die und aus der EU“ 
ohne Nutzung neuester Technik nicht 
bewältigt werden. Pate gestanden haben 
die US-Systeme Esta für elektronische 
Reisebewilligungen und Visit zur bio- 
metrischen Erfassung Einreisender. 

Zweiter Teil des Pakets „Intelligen- 
te Grenzen“ ist ein Vorzugsprogramm. 
Dabei sollen automatische, biometrie- 
gestützte Schleusen etwa an Flughäfen 
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eingesetzt werden, die auch auf Ge- 
sichtserkennung mit 3D-Technik und 
elektronische Reisepässe setzen. Die 
Privilegierung setzt den Einsatz einer 
20 Euro teuren Chipkarte voraus. Die 
Kommission hofft, dass registrierte 
TeilnehmerInnen, die zum Beispiel ihre 
Fingerabdrücke abgegeben haben, so 
„sehr viel schneller abgefertigt werden 
können“. Ideal sei das Programm etwa 
für Geschäftsreisende, Zeitarbeitskräfte, 
WissenschaftlerInnen und Studierenden 
sowie Drittstaatsangehörige mit en- 
ger Verwandtschaftsbeziehung zu EU- 
BürgerInnen, die eine Grenze zur EU 
mehrmals im Jahr übertreten. Die Daten 
sollen in der Regel sechs Monate lang 
gespeichert bleiben. 

Die Grünen im EU-Parlament schen 
mit dem Entwurf, dessen Komponen- 
ten 2017 oder 2018 in Betrieb gehen 
können, „alle Grenzen gesprengt“. Die 
grenzpolitische Sprecherin der Fraktion, 
Ska Keller, meint, der Entwurf sei der 
Einstieg in Big Brother und die Kom- 
pletterfassung von Reisenden in die EU. 
„Unerwünschte Drittstaatenangehörige“ 
könnten bereits jetzt identifiziert und ab- 
gewiesen werden, sodass eine neue „Da- 
tenkrake“ nicht erforderlich sei. Auch 
sehe die Kommission schon jetzt eine 
Zweckentfremdung der Fingerabdruck- 
daten vor: Die Polizeibehörden sollen 
auf die Datenbank zumindest theore- 
tisch zugreifen können. AusländerInnen 
würden „in eine Ecke mit Verbrechern“ 
gestellt. 

Kellers innenpolitischer Kollege Jan 
Philipp Albrecht rügte, dass die Kom- 
mission viel Geld verprassen wolle, „das 
bei Polizei und Justiz vor Ort und der Zu- 
sammenarbeit via Europol und Eurojust 
schon heute fehlt“. Vielreisende würden 
zudem nach ihrer vermeintlich „freiwil- 
ligen Registrierung“ verdachtsunabhän- 
gig überwacht und diskriminiert. Dabei 
habe Brüssel bislang nicht belegt, dass 
die geplanten „Massendatenspeicherun- 
gen“ mehr Sicherheit brächten. 

Der Bundesdatenschutzbeauftragte 
Peter Schaar hält die Pläne für vollau- 
tomatisierte Kontrollen an den EU-Au- 
Bengrenzen für nicht praktikabel und 


rechtlich untragbar. Das Smart-Border- 
System verletze Grundrechte. Wegen 
technischer Defizite könnten unbeschol- 
tene Reisende in Fahndungslisten auf- 
tauchen und dann wie Kriminelle be- 
handelt werden. Das Konzept sei völlig 
unrealistisch und Geldverschwendung: 
„Die Pläne sind alles andere als smart.“ 
Laut Schaar sollte in den USA vor eini- 
gen Jahren ein ähnliches System einge- 
führt werden. Das funktioniere bis heute 
nicht, obwohl der Grenzfluss in die USA 
mit nur zwei direkten Nachbarstaaten 
viel einfacher zu koordinieren sei als 
die Ein- und Ausreisen in der EU. Hinzu 
komme, dass das Vorhaben als „lücken- 
lose Vorratsdatenspeicherung“ juristisch 
nicht haltbar sei. Er hoffe, dass sich die 
Bundesregierung bei den anstehenden 
Beratungen und Verhandlungen in Brüs- 
sel „sehr kritisch“ positioniere. Auch die 
EU-Datenschutzbeauftragten haben das 
Programm als unverhältnismäßig kriti- 
siert. 

Verschiedene Studien kommen eben- 
falls zu vernichtenden Ergebnissen. Die 
Autoren einer von der Böll-Stiftung 
in Auftrag gegebenen Studie namens 
„Borderline“ meinen, die enormen Kos- 
ten stünden in keinem Verhältnis zum 
Nutzen. Die Aussage, das Programm 
könne das Leben von Bootsflüchtlingen 
retten, die immer wieder im Mittelmeer 
ertrinken, hält Mitautor Ben Hayes für 
vorgeschoben. Von Rettung der Flücht- 
linge stehe in den Konzepten nichts, 
vielmehr würden „Push-Back“-Pläne 
entwickelt, die dazu dienten, Menschen 
abzuschrecken oder noch auf dem Meer 
zurückzuschicken. Ebenso wie der zu- 
sätzlich geplante Überwachungsapparat 
Eurosur würden die Menschenrechte 
nicht ausreichend beachtet; ein efiizien- 
tes Funktionieren sei nicht zu erwarten. 
Auch eine von der EU selbst in Auftrag 
gegebene Studie bezweifelt den Nutzen 
des Programms. Datenschutz und das 
Recht auf Privatsphäre könnten dadurch 
verletzt werden, so die Autoren (Krem- 
pl, Smart Borders: EU-Kommission 
beschließt elektronische Grenzüberwa- 
chung, www.heise.de 28.02.2013; Mit 
Chipkarte in die EU, SZ 01.03.2013; 
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Biermann, EU-Pläne zur Grenzüberwa- 
chung „verletzen Grundrechte“, www. 
zeit.de 05.03.2013). 


Frankreich 


Polizei kontrolliert ver- 
deckt Geschwindigkeit 


Die französische Polizei ist künftig 
auf den Straßen des Landes mit Zivil- 
fahrzeugen unterwegs, die ein Radarsys- 
tem im Nummernschild versteckt haben. 

300 Zivilfahrzeuge sollen in den kom- 
menden Jahren rasende Autos überfüh- 
ren und für mehr Sicherheit auf franzö- 
sischen Straßen sorgen. Auf Autobahnen 
in Frankreich gilt ein allgemeines Tem- 
polimit von 130 km/h. Die meisten Ver- 
kehrsteilnehmerInnen halten sich daran, 
denn Rasen ist teuer. Wer 20 km/h zu 
schnell unterwegs ist, muss mindestens 
135 Euro zahlen, wer mehr als 50 km/h 
zu schnell ist, dem droht ein Bußgeld 
von 1.500 Euro. 

Die Zivilfahrzeuge sind mit unsicht- 
barem Infrarot-Blitz in der vorderen 
Stoßstange ausgestattet. Eine Radaran- 
tenne liegt hinter dem Nummernschild 
versteckt, eine Kamera befindet sich auf 
dem Armaturenbrett, daneben ein Bild- 
schirm mit Touchscreen. Die Rechen- 
zentrale mit eigener Batterieversorgung 
ist im Kofferraum untergebracht. Ge- 
messen wird unauffällig, beispielsweise 
während eines Überholmanövers. Da- 
bei kann das polizeiliche Zivilfahrzeug 
die vorgegebene Geschwindigkeits- 
beschränkung einhalten. Überholt ein 
Fahrzeug mit einem Tempo, das min- 
destens 20 Stundenkilometer über dem 
erlaubten Limit liegt, beginnt die Mes- 
sung. 10% Toleranz wegen möglicher 
Messfehler werden abgezogen. Wem 
dann noch ein Tempoverstoß nachge- 
wiesen wird, die oder der bekommt erst 
Wochen später Post mit einer Zahlungs- 
aufforderung. VerkehrssünderInnen sol- 
len nicht sofort an Ort und Stelle ange- 
halten werden. 

Ab 2014 soll die Technik weiter ver- 
bessert werden. Dann können auch Mes- 
sungen aus der Gegenrichtung erfolgen. 
Die neue Radartechnik soll überwiegend 
in dem aktuellen Renault Megane dCi 
eingebaut werden, einem Auto, das in 
Frankreich so häufig ist wie in Deutsch- 
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land der VW Golf. Ausgerüstet mit der 
kompletten Messtechnik wird der Wa- 
gen insgesamt 70.000 Euro kosten. Pro 
Jahr sollen 100 solcher Fahrzeuge ange- 
schafft werden. Auch in Motorräder soll 
die Technik eingebaut werden. 

Zur Sicherheit auf französischen Stra- 
Ben sollte auch die neue Vorschrift bei- 
tragen, dass grundsätzlich alle Autofah- 
rerInnen in Frankreich einen Alkoholtest 
im Auto bei sich haben müssen. Das Ge- 
setz, das im vergangenen Jahr noch von 
der Sarkozy-Regierung erlassen wurde, 
war von Beginn an umstritten. Wegen 
Lieferschwierigkeiten und vor allem 
Ungenauigkeiten der Geräte hagelte es 
Kritik. Aus diesem Grund hat die neue 
französische Regierung nicht einmal 
ein Jahr später die neue Vorschrift wie- 
der gekippt. Frankreichs Innenminister 
Manuel Valls versicherte, für ihn gebe 
es „keine verpflichtenden Alkoholtests 
und erst recht keine Sanktionen“ für 
FahrerInnen, die kein Pusteröhrchen in 
ihrem Auto haben. Alkoholkonsum ist 
in Frankreich für rund ein Drittel der 
Toten auf den Straßen verantwortlich 
(Kubisch, Französische Polizei blitzt 
mit dem Kennzeichen, www.welt.de 
19.03.2013). 


Großbritannien 


Scotland Yard nutzte 
Identitäten toter Kinder 


In Großbritannien sorgen die Ermitt- 
lungsmethoden einer Spezialeinheit von 
Scotland Yard für Aufregung; ein Un- 
tersuchungsausschuss soll Aufklärung 
bringen: Verdeckte Ermittler nutzten 
zwischen 1968 und 1994 die Identitä- 
ten von rund 80 verstorbenen Kindern, 
gaukelten Frauen Beziehungen vor und 
verschwanden wenig später spurlos. Ein 
Beispiel: Zwei Jahre lang war ein Frau 
mit John Barker zusammen. Im März 
1992 verschwand er plötzlich aus ihrem 
Leben. Die Frau suchte nach einer Er- 
klärung dafür, heuerte einen Privatde- 
tektiv an und verfolgte Spuren 18 Jahre 
lang in aller Welt. Heute weiß sie, dass 
ihr Ex-Freund ein verdeckter Ermittler 
von Scotland Yard war, der für seine 
Tarn-Identität den Namen eines ver- 
storbenen Jungen genutzt hat. Der echte 
John Barker war 1968 im Alter von acht 


Jahren an Leukämie gestorben. Die EI- 
tern wussten, wie in allen Fällen, nichts 
davon. Drei Jahrzehnte lang hatte die 
Metropolitan Police (MET) Geburts- 
und Sterberegister als Quellen genutzt. 

In der Presse schilderten zwei Ermitt- 
ler, die anonym bleiben, detailliert, wie 
sie und weitere Kollegen sich der Iden- 
titäten bedienten, teilweise mit Gewis- 
sensbissen. Einer der Beamten sagte, 
er habe sich gefühlt, als „trampele er 
auf dem Grab“ des Vierjährigen herum, 
dessen Namen er angenommen hatte, 
um in den neunziger Jahren in einer 
Anti-Rassismus-Gruppe verdeckt zu 
ermitteln. Die beiden Polizisten arbei- 
teten gemäß dem Bericht für die Spe- 
cial Demonstration Squad (SDS). Die 
geheime Abteilung von Scotland Yard 
war 1968 gegründet worden, nachdem 
vor der US-Botschaft in London eine 
Demonstration gegen den Vietnamkrieg 
eskaliert war. Ermittler sollten Protest- 
bewegungen von innen überwachen 
und wurden, als Tierschützer oder Frie- 
densaktivisten getarnt, in die entspre- 
chenden Organisationen eingeschleust. 
Jahrelang sammelten sie dort Informa- 
tionen. 2008 wurde die SDS laut Pres- 
seberichten aufgelöst. 

Die MET betont, dass diese Praxis 
heute nicht erlaubt sei. Zu den früheren 
Absprachen für Undercover-Identitäten 
von SDS-Polizisten würden Ermittlun- 
gen eingeleitet. Etwa seit 2011 kocht 
das Thema um die britischen Spezia- 
lermittler immer wieder hoch. Damals 
kam der Fall von Mark Kennedy ans 
Tageslicht, der von 2002 bis 2009 im 
Auftrag von Scotland Yard undercover 
in der militanten Umweltaktivistensze- 
ne aktiv war, zunächst in Großbritanni- 
en, danach in ganz Europa. Nach Anga- 
ben von Mitstreitern hatte er als Agent 
provocateur viele Proteste angeheizt. 
Außerdem hatte er mit mehreren Frau- 
en Affären; mit einer war er sechs Jahre 
zusammen. Inzwischen befasst sich ein 
parlamentarischer Untersuchungsaus- 
schuss mit den Fällen. Elf Frauen ha- 
ben die MET verklagt, weil sie „sehr 
persönliche“ Beziehungen zu Agenten 
hatten, ohne deren wahre Identität zu 
kennen. Die Ermittler lebten mit den 
Frauen, einige bekamen gar gemeinsa- 
me Kinder. Nach Abschluss ihres Auf- 
trags verschwanden sie einfach spurlos. 
Ein Uno-Vertreter hat sich inzwischen 
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eingeschaltet. Maina Kiai forderte Ende 
Januar 2013 bei einem zehntägigen 
Recherchebesuch in London, Belfast 
und Edinburgh eine öffentliche Auf- 
arbeitung des Falls Kennedy und ähn- 
licher Fälle: „Es ist inakzeptabel, dass 
ein Staat jemanden bezahlt, der Frauen 
ausnutzt, Teil ihres Lebens wird und sie 
dann einfach verlässt und vernichtet. 
Das ist kein James-Bond-Film.“ Das 
Vorgehen verletzte die Menschenrech- 
te und das Recht auf Privatsphäre; die 
ausspionierten Gruppen seien nicht in 
kriminelle Machenschaften verwickelt 
gewesen. 

Das Innenministerium erklärte, ers- 
te interne Ermittlungen seien bereits 
durchgeführt und Vorschläge für den 
Einsatz von Langzeitermittlern wie 
Kennedy vorgelegt worden: „Die Re- 
gierung arbeitet mit der Polizei an der 
Umsetzung dieser Empfehlungen.“ 
Schon im März 2010 schilderte ein 
Pressbericht ausführlich, wie Dutzende 
Undercover-Ermittler ihre Legenden 
auf der Identität von Toten aufbauten. 
Die Methode, die Frederick Forsyth 
in seinem Thriller „Der Schakal“ be- 
schreibt, sei vor rund 40 Jahren einge- 
führt worden, um Ermittlern eine glaub- 
hafte Biografie zu bieten. Die Fahnder 
besuchten beispielsweise das Geburts- 
haus ihres Namensgebers, sahen sich 
die Umgebung an und speicherten klei- 
ne Details ab, um ihre Tarnung mög- 
lichst echt erscheinen lassen zu können. 
Gemäß Presseberichten wurde diese 
Form der Legendenbildung Mitte der 
neunziger Jahre mit der Digitalisierung 
von Daten und der Popularisierung des 
Internet eingestellt. Allerdings soll es 
einen Fall geben, in dem ein Ermittler 
noch 2003 die Identität eines toten Kin- 
des genutzt hat. 

Ein parlamentarischer Untersu- 
chungsausschuss wird sich künftig mit 
dem zweifelhaften Vorgehen befassen. 
Der Ausschussvorsitzende Keith Vaz 
erklärte: „Der Ausschuss wird nun von 
der Polizei Erklärungen verlangen müs- 
sen, wie es zu diesen grausamen Me- 
thoden kommen konnte. Das bedeutet 
enormes Leid für die Familien, die er- 
fahren, was mit der Identität ihrer ver- 
storbenen Kinder geschehen ist“ (Utler, 
Scotland Yard: Undercover-Ermittler 
benutzten Namen toter Kinder, www. 
spiegel.de 04.02.2013). 
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Österreich 


Neue Datenschutz- 
behörde übernimmt Auf- 
gaben der Datenschutz- 
kommission 


Der Verfassungsausschuss des ös- 
terreichischen Nationalrats hat auf das 
Urteil des Europäischen Gerichtshofes 
vom 16.10.2012 reagiert, wonach die 
bisherige Datenschutzkommission nicht 
unabhängig genug ist, und die Novelle 
des Datenschutzgesetzes beschlossen, 
welche die Einrichtung einer neuen Da- 
tenschutzbehörde vorsieht. Diese wird 
nicht nur als unabhängige Kontrollstel- 
le zur Überprüfung der Einhaltung von 
Datenschutzvorschriften fungieren, son- 
dern unter anderem auch für die Füh- 
rung von Registrierungsverfahren, die 
Genehmigung von Datenübermittlun- 
gen ins Ausland, die Genehmigung von 
Datenverwendungen für wissenschaft- 
liche oder statistische Zwecke und die 
Auskunftserteilung an Bürger zuständig 
sein. Der Leiter bzw. die Leiterin der 
Datenschutzbehörde soll für jeweils 
fünf Jahre vom Bundespräsidenten auf 
Vorschlag der Regierung bestellt wer- 
den. 

Bescheide der neuen Datenschutz- 
behörde können beim Bundesverwal- 
tungsgericht angefochten werden, wo- 
bei die Entscheidungen dort ein Senat 
unter Einbindung fachkundiger Laien- 
richter aus dem Kreis der Arbeitgeber 
und der Arbeitnehmer treffen wird. Ein 
jährlich zu erstellender Bericht der Da- 
tenschutzbehörde soll auch dem Nati- 
onalrat und dem Bundesrat übermittelt 
werden. 

Von der ursprünglich vorgesehenen 
Einrichtung eines Fachbeirats zur Un- 
terstützung der Datenschutzbehörde 
wurde letztendlich abgesehen. Man 
wolle jeglichen Zweifel an der Unab- 
hängigkeit der Datenschutzbehörde 
vermeiden, hieß es dazu in den Er- 
läuterungen zu einem am 19.04.2013 
gemeinsam von SPÖ, ÖVP und FPÖ 
vorgelegten Abänderungsantrag. Au- 
Berdem wurde durch eine Umformu- 
lierung des Gesetzentwurfs deutlicher 
sichtbar gemacht, dass nicht nur öf- 
fentliche Auftraggeber in Verfahren vor 
der Datenschutzbehörde Parteistellung 


erhalten. Der Datenschutzrat erhält die 
ausdrückliche Erlaubnis, Gutachten zu 
Fragen von grundsätzlicher Bedeutung 
des Datenschutzes einzuholen (Verfas- 
sungsausschuss billigt Novellierung 
des Datenschutzgesetzes, www.ots.at 
19.04.2013). 


Schweiz 


Nestle und Securitas 
zahlen an Spitzelopfer 


Vom Nestl&-Konzern wurde ein Ur- 
teil des Zivilgerichts von Lausanne 
akzeptiert, welches das Unternehmen 
wegen der Verletzung von Persön- 
lichkeitsrechten für schuldig erklärt 
hat. Hintergrund ist eine Bespitzelung 
und Infiltration einer Attac-Gruppe in 
Lausanne, die den Konzern öffentlich 
kritisiert hatte. Die Gruppe wurde im 
Auftrag von Nestl& durch die Sicher- 
heitsfirma Securitas ausgehorcht. Eine 
Securitas-Mitarbeiterin gehörte zeit- 
weise zur Attac-Gruppe und arbeitete 
an einem Buch über Nestl& mit. Zu- 
gleich stellte sie für den Konzern Dos- 
siers über die Mitglieder der Gruppe 
zusammen. Später wurde sie enttarnt. 
Nestle und Securitas wurden verurteilt, 
jedem der acht Geschädigten 3.000 
Schweizer Franken an „moralischer 
Wiedergutachung“ zu zahlen. Beide 
Firmen akzeptierten das Urteil Mitte 
März 2013 (Der Spiegel 13/2013, 68). 


Rußland 


FSB kontrolliert soziales 
Netzwerk VKontakte 


Eine russische Zeitung hat auf- 
gedeckt, dass das soziale Netzwerk 
„VKontakte“ offenbar Daten von 
Kreml-GegnerInnen an den Inlandsge- 
heimdienst FSB weiterleitet. VKontak- 
te wurde 2006 gegründet und zählt 200 
Millionen Mitglieder; es ist die wich- 
tigste Austausch- und Werbeplattform 
des Landes. Facebook hat in Russ- 
land dagegen nur knapp 7 Millionen 
Nutzende. Pawel Durow, der Gründer 
von VK, besitzt ein Vermögen von 200 
Millionen Euro, eine Million hat er an 
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Wikipedia gespendet. Er ist 28 Jahre alt 
und wird mit Mark Zuckerberg vergli- 
chen. Im Dezember 2011, als Zehntau- 
sende RussInnen gegen die Ergebnisse 
der Parlamentswahl demonstrierten, 
setzte der Kreml Durow unter Druck. 
VK-Profile von Oppositionellen sollten 
entfernt werden. Durow postete damals 
das schriftliche Ersuchen trotzig in sei- 
nem eigenen Profil; daneben das Bild 
eines Hundes mit ausgestreckter Zun- 
ge: „Meine offizielle Antwort an die 
Geheimdienste.“ 

Gleichzeitig soll er aber laut dem 
Pressebericht einen Brief an Wladis- 
law Surkow geschrieben haben, ehe- 
mals Chefideologe im Kreml: „Wie 
Sie wissen, arbeiten wir seit Jahren 
mit dem FSB und der Abteilung K des 
Innenministeriums zusammen, indem 
wir die Informationen von Tausenden 
unserer Nutzer in Gestalt von IP-Ad- 
ressen und Handynummern reibungs- 
los weiterleiten. Wir sind besorgt über 
die Perspektive einer Destabilisierung 
im politischen und wirtschaftlichen 
Leben Russlands und sind bereit, wei- 
terhin an der Seite der Behörden alles 
zu unternehmen, um eine Verbreitung 
von Gewalt und Chaos zu verhindern.“ 
Profile von Oppositionellen zu entfer- 
nen, sei aber nicht im Interesse Russ- 
lands. Dann würden nämlich viele jun- 
ge NutzerInnen zu Facebook wechseln. 
„Langfristig könnte das unsere techno- 
logischen und ideologischen Bemühun- 
gen, den Andrang ausländischer Sozi- 
alnetzwerke auf dem Heimatmarkt zu 
bremsen, zunichtemachen.“ Außerdem 
würden die Unzufriedenen dann ihre 
Protestmärsche auf Facebook planen - 
unbeaufsichtigt. 

Entweder solle, so Durow, der Kreml 
seine diskrete Kontrolle im Netz fort- 
setzen, oder man führe eine totale Zen- 
sur nach chinesischem Vorbild ein, 
die auch Facebook träfe - aber bitte 
keine Mittelwege. In einem anderen 
dem Presseorgan vorliegenden Sch- 
reiben schildert ein ehemaliger VK- 
Pressesprecher, wie er fiktive Profile 
von Oppositionsgruppen anlegte, um 
Verwirrung zu stiften. Durow ließ den 
Zeitungsbericht als „völligen Blöd- 
sinn“ dementieren. Viele VK-Nutzende 
haben trotzdem ihren Austritt angekün- 
digt (Neshitov, Geheimdienst liest mit, 
SZ 28./29.03.2013, 1). 
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USA 


Inhaltsaufzeichnung von 
digitaler Kommunikation 


Tim Clemente, ehemaliger Anti-Ter- 
ror-Agent des FBI, ehemaliger Polizist 
und ehemaliger Armeeangehöriger, be- 
stätigte in zwei CNN-Fernsehauftritten, 
dass Sicherheitsdienste der USA jede 
Form digitaler Kommunikation inner- 
halb des Landes aufzeichnen und dass 
diese auch im Ausland aktiv sind. Im 
Zusammenhang mit dem Bombenatten- 
tat auf den Marathon in Boston führte er 
aus, dass das FBI auch zurückliegende 
Telefonate abrufen kann: „Natürlich ha- 
ben wir bei Untersuchungen zur Natio- 
nalen Sicherheit Wege herauszufinden, 
was exakt in diesen Gesprächen gesagt 
wurde.“ Damit bezog er sich auf Tele- 
fongespräche zwischen dem inzwischen 
verstorbenen Attentäter und dessen 
Frau. Die Inhalte dieser Unterhaltungen 
stünden dem FBI auch dann zur Verfü- 
gung, wenn die Frau sie nicht von sich 
aus preisgeben sollte. „Das ist nicht un- 
bedingt etwas, was das FBI vor Gericht 
präsentieren würde, aber es könnte die 
Untersuchung voranbringen oder zu ei- 
nem Verhör der Frau führen. Wir können 
das natürlich herausfinden.“ 

Auf die ungläubige Rückfrage der 
CNN-Fernsehjournalistin sagte Cle- 
mente: „Willkommen in Amerika. Alles 
was wir sagen, wird erfasst, während 
wir sprechen, ob uns das gefällt oder 
nicht.‘“ Tags darauf bestätigte er seine 
Aussagen: „Im Bereich der Nationalen 
Sicherheit, der Bundesregierung, haben 
wir Möglichkeiten, viele Möglichkei- 
ten, zu unserer Verfügung, quer durch 
die verschiedenen Geheimdienste. Nicht 
nur im Inland, sondern auch in Übersee. 
Diese Möglichkeiten erlauben uns, In- 
formation zu erlangen, die wir norma- 
lerweise nicht in einer strafrechtlichen 
Untersuchung verwenden können, die 
aber für große Terroruntersuchungen 
oder zur Spionageabwehr genutzt wer- 
den.“ Auf die Frage „Sie sprechen nicht 
über Nachrichten auf einem Anrufbeant- 
worter. Worüber sprechen Sie genau?“ 
erwiderte Clemente: „Ich spreche über 
jegliche digitale Kommunikation. Es 
gibt einen Weg, digitale Kommunika- 
tion aus der Vergangenheit anzuschau- 
en.“ Er könne jedoch keine Details dazu 


nennen, wie das genau gemacht werde. 
„Aber ich kann Ihnen sagen, dass keine 
digitale Kommunikation sicher ist.“ Die 
Ermittler würden die Inhalte der Tele- 
fongespräche zwischen dem Attentäter 
und seiner Frau eruieren. 

Völlig neu sind diese Hinweise auf 
den Umfang der Überwachung nicht. 
Die britische Zeitung Guardian listet 
in einem Artikel mehrere Fälle auf, in 
denen ähnliche Informationen von Ein- 
geweihten bekannt wurden, etwa von 
einem Mitarbeiter des Telekommuni- 
kations-Anbieters AT&T, Mark Klein, 
oder von William Binney. ehemaliger 
Mitarbeiter des US-Geheimdiensts NSA 
(National Security Agency). In einem 
Interview mit Democracy Now im Ap- 
ril 2012 sagte Binney, die NSA zeichne 
fast alle E-Mails auf. Seiner Schätzung 
nach, die auf Angaben aus 2006 fuße, 
habe die NSA eine Größenordnung von 
20 Billionen Unterhaltungen in Form 
von E-Mails und Telefonaten zwischen 
US-Bürgern erfasst. Finanzielle Trans- 
aktionen seien in dieser Zahl noch nicht 
enthalten. Bei einer parlamentarischen 
Anhörung stellt dagegen ein NSA-Ge- 
neral in Abrede, dass Kommunikation 
zwischen US-Bürgern routinemäßig 
„abgefangen“ werde (intercepted). 2015 
wollen NSA und DISA (Defense Infor- 
mation Systems Agency) ein neues Da- 
tencenter in Betrieb nehmen. Der Bau- 
auftrag im Wert von 565 Millionen US- 
Dollar wurde im März 2013 vergeben 
(Sokolov, Ex-Terrorfahnder: Keine di- 
gitale Kommunikation ist sicher, www. 
heise.de 05.05.2013; Greenwald, Are all 
telephone calls recorded and accessible 
to the US government? www.guardian. 
co.uk 04.05.2013). 


USA 


Banken-Polizei-Koope- 
ration bei Videokontrolle 
in New York 


Wie das Magazin CounterPunch im 
Gefolge der Sendung „60 Minutes“ her- 
ausfand, befindet sich unter der Adresse 
55 Broadway in New York ein polizei- 
liches Überwachungszentrum für die 
Stadt unter dem Namen Lower Manhat- 
tan Security Coordination Center. Am 
Eingang des Gebäudes stehen weitere 
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prominente Namen: Goldman Sachs, 
Citigroup, JPMorgan Chase ... Die Lo- 
wer Manhattan Security Initiative wurde 
für 150 Millionen Dollar aus Steuergel- 
dern finanziert. Die Kosten, Tendenz 
steigernd, werden von der Regierung in 
Washington und der Stadt New York ge- 
tragen. Die Terminals sind rund um die 
Uhr besetzt. Etwa 2.000 private Über- 
wachungskameras gehören den Firmen 
der Wall Street, 1.000 sind im Eigentum 
der New Yorker Polizei. Zusätzliche 
700 Kameras sind in Midtown instal- 
liert und liefern ihre Bilder in das Zen- 
trum. Die technische Ausrüstung ist so 
perfekt, dass praktisch jede Bewegung 
jedes Menschen auf Computern in Real- 
Time ausgewertet, vergrößert, scharf ge- 
stellt werden kann. Eine Sprecherin des 
Überwachungs-Zentrums sagte in der 
Sendung „60 Minutes“, sie könne „mit 
einem Fingerschnippen“ jede Aktion der 
ahnungslosen Bürger isolieren und do- 
kumentieren. 

Der Bürgermeister von New York Mi- 
chael Bloomberg ist Initiator des Zen- 
trums. Polizeichef Raymond Kelly ist 
auf die gute Zusammenarbeit der Ban- 
ken mit der Polizei stolz. Deren Recht- 
mäßigkeit ist umstritten. Für die Über- 
wachungsaktion gibt es kein Gesetz, 
keine Kontrolle und keine öffentlich 
einsehbaren Dokumente. Der New York 
Code verbietet in seiner Section 700.15 
ausdrücklich die Videoüberwachung 
ohne richterliche Anordnung. Die New 
York Civil Liberties Union (NYCLU) 
wies auf diesen Umstand mehrfach hin. 
Bloomberg erklärte die flächendecken- 
de Überwachung dagegen als unver- 
meidlich. Die Weiterentwicklung der 
Technologie sei nicht mehr aufzuhalten: 
„Gewöhnen Sie sich an Big Brother!“. 
In seiner wöchentlichen Radio-Anspra- 
che am 22.03.2013 meinte er: „Jeder 
möchte natürlich seine Freiheit behal- 
ten, aber ich weiß nicht, wie man das 
erreichen kann.“ Es sei „verrückt“, 
gegen die Überwachungstechnologie 
zu argumentieren. In fünf Jahren wer- 
de es überall Kameras geben: „Wo ist 
der Unterschied, ob die Drohne in der 
Luft schwebt oder am Gebäude instal- 
liert ist? Wir sind auf dem Weg in eine 
andere Welt.“ In dieser gebe es mehr 
Sichtbarkeit und weniger Privatsphäre. 
„Ich weiß nicht, wie man das aufhalten 
kann.“ 
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Seit dem 11. September 2001 ist man 
in New York verstärkt vorsichtig ge- 
worden. Die Initiative „Ring of Steel“ 
vernetzt die Überwachungskameras 
von Polizei, Banken und anderen Insti- 
tutionen auf den öffentlichen Plätzen in 
Manhattan. Die enge Zusammenarbeit 
der Polizei mit den Wall Street Banken 
in New York ist erst kürzlich bekannt- 
geworden. Die Erfahrungen der Be- 
wegung „Occupy Wall Street“ (OWS) 
hatten dazu geführt, dass die Banken 
die Polizei konkret beraten, wie sie bei 
der Überwachung vorgehen soll (New 
York: Wall Street und Polizei betreiben 
gemeinsam Video-Überwachung, Droh- 
nen über New York: „Gewöhnen Sie 
sich an Big Brother!“, deutsche-wirt- 
schafts-nachrichten.de 27.03.2013. 


USA 


Hacker veröffentlichen 
sensible Daten von 
Prominenten 


Unbekannte veröffentlichten über die 
Adresse „exposed.su“ persönliche Infor- 
mationen von US-Stars und Politikern, 
darunter Jay-Z, Beyonce, Mel Gibson, 
Ashton Kutcher, Arnold Schwarzenegger, 
Vize-Präsident Joe Biden, Hillary Clin- 
ton, Sarah Palin, Al Gore, Justizminister 
Eric Holder, FBI-Chef Robert Mueller, 
Bill Gates, Tom Cruise, Tiger Woods, 
der letzte US-Präsidentschaftskandidat 
der Republikaner Mitt Romney, TV- 
Sternchen Kim Kardashian, Paris Hilton, 
Britney Spears, der Immobilien-Mogul 
Donald Trump und Michelle Obama. Auf 
Englisch stand „Geheimakten‘“ über der 
dunklen, mit gespenstischer Musik und 
schwarzem Hintergrund unterlegten Web- 
seite. Millionen BesucherInnen haben 
die anonyme Internetadresse, die unter 
dem Namenskürzel der ehemaligen So- 
wjetunion registriert ist, angeklickt. Was 
sie dort zu lesen bekamen, beschäftigt 
die Polizei in Los Angeles, das FBI, den 
US-Geheimdienst und das Weiße Haus. 
Veröffentlicht wurden Kontaktdaten wie 
Telefonnummern und Adressen, Sozial- 
versicherungsnummern, _ Kontostände, 
Kredithistorie und Hypothekenzahlun- 
gen ihrer prominenten Opfer. Die Sozi- 
alversicherungsnummer ist ein wichtiges 
Identifizierungsmerkmal in den USA für 


Vertragsabschlüsse. 

Präsident Obama erklärte zu dem neu- 
em Angriff in einem Interview: „Wir 
sollten nicht überrascht sein, dass sich 
Hacker Zugang zu privaten Informatio- 
nen verschaffen können. Wir stehen hier 
vor einem wirklich großen Problem.“ 
Die veröffentlichten Daten der First Lady 
kommentierten die Hacker mit den Sät- 
zen: „Du kannst dich bei deinem Ehe- 
mann bedanken. Dich lieben wir weiter- 
hin, Michelle.“ Secret-Service-Sprecher 
Brian Leary bestätigte, dass man „Er- 
mittlungen aufgenommen“ habe. Ob die 
Cyber-Piraten die richtigen Daten ihrer 
prominenten Opfer veröffentlicht haben, 
war zunächst unklar. FBI-Agent Brad 
Garrett machte sich zur Motivation der 
Täter Gedanken: „Das macht für mich 
eigentlich keinen Sinn.“ Computerhacker 
würden sich in die Konten ihrer Opfer 
einklicken, um Geld zu stehlen. Bisher sei 
das aber nicht passiert. „Ich würde mich 
nicht wundern, wenn alles nur ein böser 
Witz ist.‘“ Die Telefonnummern der First 
Lady waren alt und mittlerweile inaktiv, 
eine Verbindung ins Weiße Haus be- 
kommt man mit ihnen nicht. Unklar ist, 
ob der Multi-Millionär Jay-Z tatsächlich 
227.000 Dollar Kreditkartenschulden hat, 
wie die Hacker mit ihren veröffentlichten 
Daten behaupteten. Wie Jay-Z haben die 
meisten betroffenen Stars zu den Cyber- 
Angriffen bisher nicht bestätigt, ob ihre 
veröffentlichten Informationen korrekt 
sind. Der Polizeichef von Los Angeles, 
Charles Beck, erklärte dagegen, dass sei- 
ne Daten richtig sind. Beck scheint damit 
schon Erfahrungen zu haben. Polizeispre- 
cherin Sara Faden: „Das kommt immer 
mal wieder vor“ (Remke, Hacker veröf- 
fentlichen Nummer von Michelle Oba- 
ma, www.welt.de 13.03.2013, Bill Gates 
Bankkonten von Hacker bloßgestellt, 
www.t-online.de 13.03.2013; Hacker ver- 
öffentlichen hochsensible Promi-Daten, 
www.focus.de 13.03.2013; Hacker veröf- 
fentlichen „Geheimakten“ von Stars, SZ 
13.03.2013, 10). 


USA/weltweit 


Nach Datendiebstahl 
größter Online-Bankraub 


Cyber-Räubern gelang es, in zehn 
Stunden in 26 Ländern Bargeld 40 Mil- 
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lionen Dollar von Banken an Geldauto- 
maten zu erbeuten. In sieben deutschen 
Städten erlangten die Betrüger 1,8 Mil- 
lionen Euro. Als man einige Bandenmit- 
glieder in Manhattan beobachtete, wie 
sie von Geldautomat zu Geldautomat 
zogen und Geld abhoben, waren ihre 
Rucksäcke mit Dollarscheinen prall 
gefüllt. Allein in New York City zogen 
sie aus 2904 Geldautomaten 2,4 Millio- 
nen Dollar. Die Beute von insgesamt 45 
Millionen Dollar (= etwa 34 Mio. Euro) 
ist die bisher höchste Summe, die bei 
einem derartigen organisierten Cyber- 
Bankraub zusammenkam, so die New 
Yorker Staatsanwältin Loretta Lynch, 
als sie die Verhaftung von sieben Ban- 
denmitgliedern in New York bekannt 
gab: „Das war Bankraub im Stil des 21. 
Jahrhunderts, der mithilfe des Internets 
ausgeführt wurde und um den gesamten 
Globus reichte“. 

Die Bande waren über das Internet 
in die Rechner einer indischen Firma 
eingedrungen, die für Kunden welt- 
weit Zahlungsdienstleistungen erle- 
digt. Dort stahlen sie die elektronisch 
gespeicherten Daten für Prepaid-Debit- 
karten einer Bank aus den Vereinigten 
Arabischen Emiraten. Zudem setzten 
sie bei ihrem digitalen Einbruch das Li- 
mit der Karten hoch. Danach schickten 
sie die Informationen über das Netz an 
Fußsoldaten in aller Welt. Diese pro- 
grammierten mit einfach zu bekom- 
menden Geräten die Magnetstreifen 
beliebiger Karten neu und hoben damit 
massenhaft Geld ab. Um die Spur zu 
verwischen, kauften Mitglieder dieser 
Gangs teure Autos oder Schmuck. Sie- 
ben von ihnen wurden festgenommen, 
ein weiteres Mitglied wurde erschos- 
sen aufgefunden. Alle stammen aus der 
Dominikanischen Republik und wohn- 
ten in der Nähe von New York. Die 
Aktion hat den US-Ermittlern zufolge 
schon im Oktober 2012 begonnen; da- 
mals erbeuteten die Cyber-Kriminellen 
etwa fünf Millionen Dollar. Durch den 
Erfolg ermutigt, stahlen die Hacker im 
Februar 2013 erneut Kartendaten einer 
Bank aus dem Nahen Osten und sack- 
ten diesmal über ihre Mittelsmänner 40 
Millionen Dollar ein. Die Teams hoben 
dafür in etwa zehn Stunden weltweit 
36.000-mal Geld ab. 

Auch in Deutschland waren die Be- 
trüger unterwegs. Ralf Herrenbrück, 
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Sprecher der Staatsanwaltschaft Düs- 
seldorf: „An Geldautomaten in sieben 
Orten in West-, Nord- und Süddeutsch- 
land wurden insgesamt 2,4 Millionen 
US-Dollar (1,8 Millionen Euro) von 
einem Konto der Bank aus dem Nahen 
Osten abgehoben.“ Zwei Täter wurden 
von der Polizei festgenommen, als sie 
in Düsseldorf mit manipulierten Karten 
169.000 Euro abhoben. Ein Bankkunde 
beobachtete, wie sie vermummt und in 
Eile den Vorraum einer Bank verließen, 
und informierte die Polizei. Diese fand 
die Täter und ihre Beute in einem Auto, 
das in der Nähe abgestellt war. Bei den 
Tätern handelt es sich um einen 35 Jah- 
re alten Mann und eine 56 Jahre alte 
Frau aus den Niederlanden. Eine dritte 
Person befindet sich dort in Ausliefe- 
rungshaft. Die Staatsanwaltschaft Düs- 
seldorf koordiniert derzeit die weiteren 
strafrechtlichen Ermittlungen zu dem 
Fall in Deutschland. Dabei geht es un- 
ter anderem um etwaige Hintermänner. 

Die „Deutsche Kreditwirtschaft“, 
eine Organisation, in der alle deutschen 
Banken zusammengeschlossen sind, 
verwies darauf, dass alle 94 Millionen 
EC-Karten (Girocards) in Deutschland 
seit Herbst 2012 mit einem fälschungs- 
sicheren Chip ausgerüstet sind, ebenso 
alle 60.000 Geldautomaten und alle 
750.000 Terminals im Handel. Der Chip 
habe den Magnetstreifen abgelöst. Alle 
Abhebungen von Geldautomaten in 
Deutschland funktionieren ausschließ- 
lich über den Chip. Der Magnetstreifen 
ist zwar weiter auf der Karte vorhanden, 
über ihn laufen aber nur Funktionen wie 
der Kontoauszugsdrucker. Dadurch sei- 
en betrügerische Transaktionen mittels 
Kartendubletten im deutschen Giro- 
card-System ausgeschlossen. Dass in 
sieben deutschen Orten mit manipulier- 
ten Karten Geld abgehoben wurde, liegt 
daran, dass offenbar nicht EC-Karten, 
sondern Dubletten von Prepaid-Karten 
des US-Kreditkartenunternehmens 
Mastercard genutzt wurden, für die der 
Magnetstreifen auch noch bei deut- 
schen Geldautomaten funktioniert. Da 
es sich bei den gestohlenen Informati- 
onen um Konten für Guthabenkarten 
handelte, wurden keine Bankkunden 
geschädigt, sondern nur die Banken 
selbst. Dies ist auch der Grund, weshalb 
es länger gedauert hat, bis der digitale 
Bankraub bemerkt wurde. Die Art des 


Bankraubs mithilfe von Datendiebstahl 
ist nicht neu. 2007 nahmen Ermittler 
des FBI einen Mann namens Max But- 
ler fest, der unter dem Pseudonym Ice- 
man Kreditkartendaten gestohlen und 
weiterverkauft hatte. Die Daten hatte 
er sich über das Internet zum Beispiel 
von den schlecht gesicherten Rechnern 
einer Pizza-Kette geholt (Freiberger/ 
Martin-Jung, „Krimineller Flashmob“, 
SZ 11./12.05.2013, 1, 12). 


Kirgisien 


Deutsche 
Entwicklungshilfe beim 
Bespitzeln 


Das Bundeskriminalamt (BKA) hat 
die kirgisische Regierung mit deutscher 
Überwachungstechnik ausgestattet und 
Sicherheitsbehörden damit vertraut 
gemacht. In den Jahren 2008 bis 2012 
führte das BKA in Kirgisien drei Lehr- 
gänge unter anderem für Mitglieder des 
Staatskomitees für Nationale Sicherheit 
und des kirgisischen Innenministeriums 
durch. Darin ging es nach offiziellen 
Angaben des BKA unter anderem um 
die „Ortung von Mobiltelefonen, den 
Einsatz der stillen SMS, die Funkzel- 
lenauswertung und auch die Online- 
Durchsuchung“. In Kirgisien sind 2010 
bei Unruhen schätzungsweise 2.000 
Menschen ums Leben gekommen. Men- 
schenrechtsorganisationen wie Human 
Rights Watch warfen den Sicherheitsbe- 
hörden der ehemaligen Sowjetrepublik 
willkürliche Verhaftungen und Folter 
vor. Das BKA bestätigte, dass es das 
kirgisische Staatskomitee für Nationa- 
le Sicherheit ein Jahr zuvor mit einem 
VW-Transporter, einer Video-Observa- 
tionsanlage, einem Scanner und einem 
Mobiltelefon „für insgesamt 73.200 
Euro“ ausgestattet hat. Bundestagsabge- 
ordnete kritisieren die Kooperation. Ulla 
Jelpke, die innenpolitische Sprecherin 
der Linken, erklärte: „Deutschland gibt 
dem kirgisischen Regime die Mittel in 
die Hand, die Opposition zu bespitzeln 
und zu unterdrücken.“ Der Vorgang zei- 
ge, „dass die parlamentarische Kontrolle 
solcher Ausbildungs- und Ausstattungs- 
hilfe dringend verbessert werden muss“ 
(Nachhilfe beim Bespitzeln, Der Spiegel 
14/2013, 13). 
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Technik-Nachrichten 


Rüstungskonzern 
entwickelt Netzwerk- 
überwachungs-Tool 


Der US-Rüstungszulieferer Raytheon 
hat eine Software zur Auswertung von 
Profilen in sog. sozialen Netzwerken 
entwickelt, mit der der Tagesablauf und 
soziale Kontakte und Beziehungen von 
Zielpersonen analysiert werden können. 
Der Rüstungskonzern verdient ansonsten 
sein Geld mit Marschflugkörpern, Torpe- 
dos und Radarsystemen. Der „Guardian“ 
hat ein Werbevideo des Unternehmens 
aus dem Jahr 2010 veröffentlicht, das 
eine Überwachungs-Software demons- 
triert. Das dabei vorgeführte Raytheon- 
Programm Riot (eine Abkürzung für 
Rapid Information Overlay Technology) 
verknüpft öffentlich zugängliche Infor- 
mationen zu einer Person aus Netzwerken 
wie Facebook, Twitter und Foursquare. 
Das Programm speichert Positionsdaten 
und liest sie auch aus den Metadaten pub- 
lizierter Fotos aus. Die Ortsangaben wer- 
den analysiert, die Software zeigt dann 
zum Beispiel, wie oft und zu welchen Zei- 
ten eine Person an bestimmten Orten ist. 
Außerdem rekonstruiert das Programm 
Kontaktnetzwerke aus den bei Twitter und 
Facebook zugänglichen Informationen. 

Bei einem normalen Tagesablauf kann 
man so mit gewisser Wahrscheinlichkeit 
vorhersagen, wer wann wo anzutreffen 
sein dürfte. Der Raytheon-Mitarbeiter, der 
in dem Video das Programm vorführt, be- 
schreibt den möglichen Einsatz so: „Wenn 
Sie Nick treffen wollen oder Zugriff auf 
sein Laptop brauchen, wäre Montag- 
morgen 6 Uhr im Fitnessstudio die beste 
Zeit dafür.‘“ Nach eigenen Angaben hat 
Raytheon die Software bislang nicht ver- 
kauft. Ähnliche Programme haben schon 
andere Firmen wie z. B. HBGary im An- 
gebot. Auch die Schufa wollte öffentlich 
zugängliche Daten auf Facebook und 
Twitter nutzen, um die Kreditwürdigkeit 
von Menschen zu prüfen, zog die Pläne 
aber nach öffentlichen Protesten zurück 
(Raytheon: US-Rüstungsfirma erprobt 
Facebook-Überwachung, www.spiegel.de 
11.02.2013) 
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Schweden 


Memoto entwickelt Lif- 
Log-Kamera 


Die schwedische Firma Memoto in 
Stockholm, ein 2012 gegründetes Start- 
up mit 17 festen Mitarbeitenden aus 
Schweden, Singapur und den USA, 
entwickelt eine Minikamera mit Daten- 
speicherung, welches als Gedächtnis der 
Nutzenden dienen und den Blick auf 
diese verändern soll. Die Kamera ist so 
winzig wie eine Streichholzschachtel. 
Die Memeto-Kamera kann mit einem 
Clip an der Kleidung befestigt oder an 
einer Kette um den Hals getragen wer- 
den. Sie macht automatisch alle 30 Se- 
kunden ein Bild, 120 Bilder pro Stunde, 
2880 am Tag. Zu jedem Bild speichert 
das Gerät die Uhrzeit und per GPS den 
Ort, womit ein riesiges Fototagebuch 
erstellt wird, ein „Life Log“. Die Bilder 
werden auf den Servern von Amazon 
übertragen, das diese für Memoto spei- 
chert. Die Memoto-Software sortiert 
die Fotos, ordnet sie nach Motiven und 
Zeiten und markiert die technisch ge- 
lungensten. Der oder die Nutzende kann 
die Bilder über ein Smartphone abrufen, 
weiter bearbeiten oder z. B. über Face- 
book posten. Die Memoto-Kamera ist 
immer aktiv; sie lässt sich nur dadurch 
stoppen, dass sie in die Tasche gesteckt 
wird. 

Martin Källström, Gründer von Me- 
moto ist nicht der erste, der Life Logs 
entwickelt. Der kanadische Erfinder 
Steve Mann oder der Microsoft-Mana- 
ger Gordon Bell experimentierten schon 
viele Jahre früher mit Geräten, die ihre 
Sinneseindrücke möglichst für immer 
bewahren sollten. Memoto will daraus 
ein Massengeschäft machen - sozusagen 
die totale Erinnerung für Jedermann. 
Ein bisschen appelliert Källström, die 
Privatsphäre anderer zu achten: „Res- 
pektiert, dass andere Menschen manch- 
mal nicht fotografiert werden möchten“. 
Doch das sei „Sache der Nutzer“. Me- 
moto habe keinen Zugriff aber die Da- 
ten, ebenso wenig die Werbeindustrie. 


Das Geld soll durch den Verkauf der 
Kameras verdient werden. Für 279 Dol- 
lars kann ein Exemplar reserviert wer- 
den; Auslieferung noch im Jahr 2013. 
Einer der Vorbilder ist für Memoto In- 
stagram, das auch mit zwölf Mitarbei- 
tenden anfing und 2012 von Facebook 
für eine Milliarde Dollar übernommen 
wurde. Instagram änderte danach für 
einige Monate vorübergehend seine Ge- 
schäftsbedingungen und lies sich umfas- 
sende Nutzungs- und Verwertungsrechte 
an den Fotos der Nutzenden einräumen 
(Wolf, Totale Erinnerung, Der Spiegel 
18/2013, 111). 


Die psychologischen 
Folgen der Beschäftigten- 
überwachung 


Im Fachmagazin „Journal of Applied 
Psychology“ beschäftigen sich Wissen- 
schaftlerInnen um die US-Psychologin 
Lori Foster Thompson mit dem Moni- 
toring von speziellen Arbeitsabläufen 
am Arbeitsplatz und stellen ihre Studie 
„When Big Brother Is Watching‘“ vor. 
Das Forschungsteam von der North 
Carolina State University untersuchte, 
welche Effekte es hat, wenn während 
eines Online-Trainings alle Lernschritte 
und Lernerfolge der MitarbeiterInnen 
von einer Computersoftware mit erfasst 
werden. Dies sind oft genau die Dinge, 
die Vorgesetzte interessieren: Führt ein 
Training zum gewünschten Lernerfolg? 
Lässt sich erhöhte Produktivität mes- 
sen? 

Kontrolle am Arbeitsplatz ist regel- 
mäßig mit einer negativen Assoziation 
verbunden. Schlagzeilen, die dieses Ge- 
fühl bei vielen angestellt Arbeitenden 
unterfütterten, lieferte in den vergange- 
nen Jahren die systematische verdeckte 
Überwachung von MitarbeiterInnen in 
vielen Unternehmen, etwa beim Lebens- 
mittel-Discounter Lidl, der Telekom und 
der Deutschen Bahn. Doch ist die Kont- 
rolle am Arbeitsplatz nicht immer darauf 
ausgerichtet, Mitarbeiter beim Diebstahl 
zu erwischen oder andere Anhaltspunk- 


75 


te für korruptes Verhalten zu finden. Das 
Dilemma des Monitoring ist, dass es für 
den Arbeitgeber wichtige Informationen 
liefern kann, von den Arbeitnehmerln- 
nen aber oft als Bedrohung empfunden 
wird. 

Das Ergebnis der Studie ist ernüch- 
ternd: Die TeilnehmerInnen des Schu- 
lungsprogramms wurden angespannter, 
wenn sie vom Monitoring wussten — und 
dadurch wiederum auch schlechter, und 
zwar allesamt. Einige MitarbeiterInnen 
fanden das Monitoring belastender, 
wenn es „live“, also in Echtzeit statt- 
fand, andere mehr, wenn es zeitversetzt 
erfolgte. Gut für den Lernerfolg war es 
in keinem der Fälle. 

Ein ähnliches Ergebnis hatte bereits 
eine der ersten Studien zu diesem The- 
ma gefunden. Im Fachmagazin „Re- 
search Contributions‘“ berichtete ein 
Forschungsteam aus Kanada schon 
1986, dass sich computergestütztes Mo- 
nitoring von Arbeitsabläufen negativ 
auswirken kann. Bei der Untersuchung 
von Versicherungsunternehmen und 
staatlichen Institutionen hatten die Wis- 
senschaftlerInnen festgestellt, dass eine 
computergestützte Überwachung der 
Produktivität — etwa, wie viele Versiche- 
rungsfälle pro Tag jemand bearbeitete — 
zu erhöhter Ängstlichkeit und Ärger bei 
den Angestellten führte. Damit einher 
ging eine sinkende Arbeitszufriedenheit 
und geringere Motivation und Eigenin- 
itiative. Die Produktivität im Sinne der 
Quantität stieg jedoch durch das Moni- 
toring. Durchschnittlich wurden mehr 
Versicherungsfälle pro Tag bearbeitet; 
die Qualität der Arbeit wurde dabei aber 
nicht erfasst. Für ArbeitspsychologIn- 
nen stellt sich aus diesen Befunden die 
Frage, ob nicht beides vereinbar wäre: 
eine erhöhte oder verbesserte Leistung 
durch Monitoring — ohne dass dadurch 
das Wohlbefinden des Mitarbeiters ge- 
schmälert wird. 

Tim Hagemann, Arbeitspsychologe 
an der Fachhochschule der Diakonie 
in Bielefeld, meint, dass der Ton die 
Musik macht: „Welchen Effekt Moni- 
toring auf einen Mitarbeiter hat, hängt 
davon ab, ob die Maßnahme als bloße 
Kontrolle oder als Unterstützung, etwa 
zur Verbesserung von Arbeitsabläufen, 
wahrgenommen wird.“ Monitoring sei 
im Grunde nichts anderes als eine Rück- 
meldung darüber, was im Arbeitsalltag 
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gut oder schlecht laufe. „Jeder braucht 
im Arbeitsalltag Feedback und Rück- 
meldungen — ohne sie würden wir sonst 
im luftleeren Raum agieren.“ Entschei- 
dend sei, wie die Führungskraft das 
Monitoring vermittelt und wie emp- 
findsam die jeweilige MitarbeiterIn 
sei. „Monitoring kann als konstruktives 
Feedback, Absicherung, Verunsicherung 
oder purer Stressor empfunden werden 
— die Grenzen sind fließend.“ Wie eine 
solche Maßnahme bei MitarbeiterInnen 
ankommt, hängt auch stark von dem 
Verhältnis ab, das MitarbeiterInnen und 
Vorgesetzte zueinander haben. Wird der 
Chef als fachlich kompetent eingestuft 
und traut man ihm eine angemessene 
Einschätzung der eigenen Arbeit zu, 
dann kann man Monitoring-Maßnah- 
men auch besser annehmen. Hätte etwa 
die Studie von Lori Foster Thompson 
nicht nur den Lernerfolg gemessen, son- 
dern integrierte Unterstützungsfunktio- 
nen gehabt, wäre das Ergebnis vielleicht 
anders ausgefallen. 

Es scheint gar nicht so schwierig zu 
sein, Monitoring so zu gestalten, dass es 
auch als unterstützend oder absichernd 
empfunden werden kann. Eine Ausnah- 
me, so Hagemann, sei die Videoüberwa- 
chung: „Wenn eine Kamera mich wäh- 
rend der gesamten Arbeitszeit filmt, ist 
das keine angenehme Grundsituation.“ 
Denn dann werden nicht nur Arbeitsab- 
läufe kontrolliert, sondern jedes Verhal- 
ten überwachbar gemacht — und das er- 
zeugt Stress. „In meiner Forschung nut- 
ze ich eine Kamera im Experiment oft 
genau dazu: um Stress auszulösen. Und 
wenn man Menschen stresst, leidet nicht 
nur die Leistung. Es steigt auch das Ri- 
siko, dass Konflikte zwischen den Mit- 
arbeitern zunehmen.“ Das fand auch die 
Studie der kanadischen Wissenschaftle- 
rInnen heraus: Die überwachten Mitar- 
beiterInnen gaben an, dass sich ihre Ar- 
beitsbeziehungen verschlechterten, und 
zwar nicht nur die zu den Vorgesetzten, 
sondern auch die Beziehungen zu ande- 
ren KollegInnen. 

Aus der sozialwissenschaftlichen 
Forschung ist seit längerer Zeit be- 
kannt, dass zu starke Kontrolle Frus- 
tration, Angst und Aggression schürt. 
Diese muss irgendwohin. In der Regel 
wandert sie in den Körper — der Ärger 
wird im wahrsten Sinne des Wortes „ge- 
schluckt“. Der Körper reagiert darauf, 


indem er Stresshormone ausschüttet 
und den Blutdruck sowie die Herzrate 
erhöht. Außerdem wird das Immunsys- 
tem heruntergefahren, um Energie für 
die stressreiche Situation zu sparen. 
Kommt zu diesen Faktoren noch äuße- 
re Unsicherheit, etwa durch die Angst 
vor Arbeitsplatzverlust, wird zusätzlich 
mehr gemobbt; die Aggression wird 
offener ausgelebt. Zu viel Kontrolle 
kann je nach Bewältigungsstrategie so 
dazu führen, dass MitarbeiterInnen auf 
Dauer körperlich oder psychisch krank 
werden, sich in die innere Kündigung 
zurückziehen oder aufeinander herum- 
hacken. 

Die damit in Gang gesetzte unheil- 
volle Spirale nennt der Psychologe Oli- 
ver Sträter von der Universität Kassel 
„Lidl-Effekt“: Durch den Rückzug der 
Mitarbeiterln wächst das Misstrauen 
des Chefs, der wiederum die Kontrolle 
verstärkt. So steigt der Druck auf beiden 
Seiten: „Führen wird oft mit Kontrolle 
verwechselt.“ Viele würden die Loya- 
lität ihrer MitarbeiterInnen unterschät- 
zen. Tim Hagemann hält Führung durch 
Kontrolle höchstens kurzfristig für sinn- 
voll. Langfristig sei das keine gute Idee 
(Jimenez, Diese Vorteile bietet Überwa- 
chung von Mitarbeitern, www.welt.de 
19.03.2013). 


Gesundheitssensoren - 
auf die Haut aufgedruckt 


Ein Forschungsteam im Labor des 
Materialwissenschaftlers John Rogers 
an der University of Illinois in Urbana- 
Champaign/USA hat sogenannte „epi- 
dermal electronics“ entwickelt, die sich 
wie entfernbare Tattoos auf die Kör- 
perhaut aufbringen lassen (vgl. DANA 
1/2012, 40). Das Verfahren erlaubt es 
den Nutzenden, Gesundheitssensoren 
ständig zu tragen, ohne dass sie bei 
Alltagsaktivitäten stören. Mit der Tech- 
nik kann beispielsweise der Wundheil- 
prozess nach chirurgischen Eingriffen 
überwacht werden. Das Prototypsystem 
besteht aus ultradünnen Elektroden, 
Sensorik, einer drahtlosen Stromver- 
sorgung sowie passender Kommunika- 
tionstechnik. Die Forschenden hatten 
zunächst mit einem dünnen Elastomer 
gearbeitet, auf dem die flexiblen Kom- 
ponenten aufgebracht waren. Rogers 
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erläuterte: „Für den Normalbetrieb in 
geschlossenen Räumen war das ausrei- 
chend. Beim Duschen oder Schwimmen 
würde es wohl nicht halten“. Aus die- 
sem Grund entwickelten der Material- 
wissenschaftler und seine KollegInnen 
das direkte Druckverfahren, das den 
Gesundheitsmonitor deutlich haltbarer 
macht: „Wir fanden heraus, dass man 
den Elastomerrücken gar nicht benötigt. 
Man kann ein Stempelverfahren nutzen, 
um das Netz aus Elektronik direkt auf 
die Hautoberfläche zu bringen.“ 

Bereits kommerziell erhältliche Sprüh- 
pflastersysteme können genutzt werden, 
um die Sensorik mit einer zusätzlichen 


Rechtsprechung 


BGH 


Keine Beeinträchtigung 
der gerichtlichen 
Presseberichterstattung 


Der Bundesgerichtshof entschied 
mit Urteil vom 19.03.2013, dass die 
Presse über in öffentlicher Verhand- 
lung erörterte Details berichten darf, 
selbst, wenn damit die Intimsphäre der 
Betroffenen tangiert wird (Az. VIZR 
93/12). Auch in einem Zivilverfahren 
kann der Presse insofern kein Schreib- 
verbot erteilt werden. Der Kläger Jörg 
Kachelmann war bis zu seiner Verhaf- 
tung im März 2010 wegen des Ver- 
dachts der Vergewaltigung einer dama- 
ligen Freundin als Fernsehmoderator 
und Journalist tätig. Er wendet sich mit 
seinem Unterlassungsbegehren gegen 
eine ihn betreffende Online-Bericht- 
erstattung auf dem von der Beklagten 
betriebenen Internetportal „www.bild. 
de“ während eines gegen ihn geführten 
Strafverfahrens. 

Kurz nach seiner Verhaftung begann 
eine intensive Medienberichterstattung 
über das gegen ihn wegen schwerer 
Vergewaltigung und gefährlicher Kör- 
perverletzung eingeleitete Strafver- 
fahren sowie über sein bis zu diesem 
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Schutzschicht zu versehen. Damit wird 
der Gesundheitsmonitor zudem enger 
mit der Haut verknüpft. Ohne den Elas- 
tomerrücken sei das System sehr robust 
und auch deutlich dünner; es passt sich 
der Hautoberfläche besser an. Das aktu- 
elle Prototypsystem hält immerhin bis 
zu zwei Wochen, bevor die natürlichen 
Hauterneuerungsprozesse dafür sorgen, 
dass es sich langsam auflöst. Während 
der zwei Wochen kann das Gerät Werte 
wie Temperatur, ausgeübte Kräfte oder 
den Feuchtigkeitsstatus der Haut erfas- 
sen, voraus sich dann wiederum Einbli- 
cke in den weiteren Gesundheitszustand 
der TrägerIn ergeben. Zur Überwachung 


Zeitpunkt der breiten Öffentlichkeit 
unbekanntes Privatleben, insbesondere 
seine Beziehungen zu Frauen. Durch 
inzwischen rechtskräftiges Urteil wur- 
de er von den Tatvorwürfen freige- 
sprochen. Das Protokoll über Kachel- 
manns Aussage beim Untersuchungs- 
richter wurde später auch im Prozess 
verlesen. Schon vor Prozessbeginn 
hatte das Nachrichtenmagazin „Fo- 
cus” aus einer Vernehmung Kachel- 
manns vor dem Untersuchungsrichter 
berichtet. In dieser Aussage schilderte 
Kachelmann, dass in der angeblichen 
Tatnacht seine damalige Freundin mit 
Sado-Maso-Utensilien auf ihn gewar- 
tet habe. Über diesen „Focus”-Artikel 
berichtete wiederum „BILD.de” am 
13.06.2010. 

Das Landgericht hat die Beklagte 
verurteilt, es zu unterlassen die be- 
anstandeten Äußerungen, aus denen 
sich Rückschlüsse auf die sexuellen 
Neigungen des Klägers ergaben, wie 
in dem Artikel vom 13.06.2010 zu ver- 
öffentlichen oder sonst zu verbreiten. 
Das Oberlandesgericht (OLG) Köln 
hatte die Berufung der Beklagten am 
14.02.2012 zurückgewiesen und der 
Klage Kachelmanns gegen „Bild.de” 
stattgegeben. Nach Auffassung des 
OLG Köln hätte die Presse selbst nach 
der Verlesung seiner Aussage nicht 


der Wundheilung bringt ein Arzt das 
System neben einer Operationswunde 
an, bevor die PatientIn das Krankenhaus 
verlässt. Über die nächsten Wochen 
kann danach erfasst werden, wie sich die 
Wunde entwickelt - inklusive drahtloser 
Rückmeldung an das Krankenhaus. Eine 
kommerzielle Nutzung ist noch nicht 
geplant. Rogers‘ Labor arbeitet daran, 
Stromversorgung und Funkeinheit zu 
verbessern. Vermarktet werden könnte 
der Gesundheitsmonitor über das Start- 
up MC10, eine von Rogers mitgegrün- 
dete Spezialfirma für flexible Elektronik 
(Orcutt, Elektronische Tattoos, www. 
heise.de 27.03.2013). 


berichten dürfen, weil die Medienöf- 
fentlichkeit wesentlich größer sei als 
die Saalöffentlichkeit im Gerichts- 
saal. Auf die Revision der Beklagten 
hat der für den Schutz des allgemei- 
nen Persönlichkeitsrechts zuständige 
VI. Zivilsenat des BGH die Unterlas- 
sungsklage abgewiesen. Wegen der 
aus dem Rechtsstaatsprinzip (Art. 20 
Abs. 3 Grundgesetz) folgenden und in 
Art. 6 Abs. 2 der europäischen Men- 
schenrechtskonvention anerkannten 
Unschuldsvermutung und einer mög- 
lichen durch die Medienberichterstat- 
tung bewirkten Stigmatisierung war 
die Veröffentlichung im Juni 2010 
wegen einer Verletzung des Persön- 
lichkeitsrechts des Klägers rechts- 
widrig. Ein Unterlassungsanspruch 
des Klägers besteht nach Ansicht des 
BGH dennoch nicht. Nach Verlesung 
des Protokolls über seine haftrichter- 
liche Vernehmung in der öffentlichen 
Hauptverhandlung sei eine aktuelle 
Prozessberichterstattung unter Einbe- 
ziehung der beanstandeten Äußerun- 
gen zulässig gewesen. Infolgedessen 
sei die für den Unterlassungsanspruch 
erforderliche  Wiederholungsgefahr 
entfallen (BGH, PM v. 19.03.2013; 
Kachelmann-Klage gegen Prozessbe- 
richterstattung abgewiesen, www.bild. 
de 19.03.2013). 
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OLG Köln 


ZKA durfte DigiTask- 
Software nicht einsetzen 


Das Oberlandesgericht (OLG) Köln 
hat mit Beschluss vom 22.03.2013 das 
Zollkriminalamt (ZKA) für den Einsatz 
einer Analysesoftware gerügt, mit der 
Daten aus einer Überwachungsmaßnah- 
me im Jahr 2011 ausgewertet wurden 
(Az. 16 Wx 16/12). Zwölf Tage lang 
waren Telefongespräche eines Verdäch- 
tigen abgehört und der Internetverkehr 
mitgeschnitten worden, gleichzeitig 
wurde ein Strafverfahren gegen den 
Verdächtigen eingeleitet. Während die 
Telefondaten nach der Überwachung 
gelöscht worden waren, blieben die In- 
ternetdaten noch über ein Jahr lang auf 
den Rechnern des ZKA gespeichert - da- 
runter auch E-Mails, die der Verdächti- 
ge mit seinem Verteidiger ausgetauscht 
hatte. Deswegen hatte der Überwachte 
Beschwerde eingelegt. 

Das Gericht stellte fest, dass die Kom- 
munikation mit einem Anwalt rechtlich 
besonders geschützt ist. Wenn derartige 
E-Mails oder Telefongespräche bei ei- 
ner Überwachung aufgezeichnet werden, 
müssen diese umgehend gelöscht werden. 
Das ZKA hatte jedoch offenbar eine alte 
Version einer „TKÜ-Auswertsoftware“ 
des Herstellers DigiTask im Einsatz, mit 
dem das Löschen bestimmter Kommu- 
nikationsvorgänge im Datenstrom nicht 
möglich war. DigiTask hatte das ZKA in 
einem Schreiben selbst aufeine neue Soft- 
wareversion mit eben dieser Möglichkeit 
hingewiesen, deren Einsatz rechtlich 
geboten sei. Allerdings hätte die Behör- 
de dafür wohl einen leistungsfähigeren 
Server mit neuem Betriebssystem benö- 
tigt. Mit der alten Software gab es nur die 
Optionen, alles oder gar nichts aufzube- 
wahren; das ZKA entschied sich für alles, 
was vom OLG beanstandet wurde: „Pro- 
bleme bei der Beschaffung der erforder- 
lichen Hard- und Software rechtfertigen 
keinen Grundrechtseingriff.“ Die tech- 
nische Ausstattung müsse den Vorgaben 
der Gesetze und des Grundgesetzes ent- 
sprechen. Insofern sei die Überwachung 
rechtswidrig gewesen (Zollkriminalamt 
für Einsatz von DigiTask-Software ab- 
gewatscht, www.spiegel.de, 10.04.2013; 
openjur.de/u/620970.htm]). 
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LG Duisburg 


Kein Zeugnis- 
verweigerungsrecht bei 
selbsteingestellten On- 
line-Beiträgen 


Die 2. große Strafkammer des Land- 
gerichts (LG) Duisburg hat April 2013 
entschieden, dass ein 33jähriger Redak- 
teur des Bewertungsportals über Klini- 
ken MedizInfo für höchstens 5 Tage in 
Beugehaft muss, weil er die Identität ei- 
nes Internetnutzers nicht aufdecken will, 
der online diffamierend über eine Ärztin 
geschrieben hat. Er hat Verfassungsbe- 
schwerde gegen die Entscheidung des 
LG Duisburg eingelegt. 

Ein Beitrag in dem Internet-Portal, mit 
dem einer Ärztin in einem westfälischen 
Krankenhaus mehr sexuelles als beruf- 
liches Interesse an ihren Patienten un- 
terstellt wurde, löste 2011 Ermittlungen 
der Staatsanwaltschaft Dortmund wegen 
übler Nachrede gegen „Unbekannt“ aus. 
Der Redaktuer weigert sich hartnäckig, 
den Namen des Verfassers zu nennen. 

Schon das Amtsgericht (AG) hatte 
entschieden, dass er nicht als Journa- 
list einzustufen sei, und belegte ihn 
zunächst mit einem Ordnungsgeld in 
Höhe von 50 Euro, ersatzweise einem 
Tag Haft. Der Redakteur legte dagegen 
Beschwerde ein, ebenso gegen den spä- 
teren Beschluss, der ihm Beugehaft an- 
drohte. Das LG wies die Beschwerden 
ab. Es stellte nicht in Frage, dass er Mit- 
arbeiter des Portals sein, womit er sich 
prinzipiell auf das Journalisten strafpro- 
zessrechtlich zugesicherte Zeugnisver- 
weigerungsrecht berufen könne. Dies 
gelte aber nicht für den konkreten Fall: 
Ein Beitrag in einem Internetportal, den 
der Nutzer ungefiltert selbst einstellt, 
sei nicht dem redaktioneller Kontrolle 
unterliegenden Leserbrief in einer Ta- 
geszeitung gleichzusetzen. Ins Gefäng- 
nis wird der Redakteur nicht gehen. Er 
kündigte an, den Namen preiszugeben 
(Malsch, Online-Redakteur muss we- 
gen Aussageverweigerung in Beuge- 
haft, www.derwesten.de 03.05.2013; 
LG Duisburg: Online-Redakteur muss 
wegen unterlassener Preisgabe eines 
Usernamens in Beugehaft, beck-ak- 
tuell.beck.de 06.05.2013; ebenso LG 
Augsburg, B.v. 19.03.2013, AfP 2013, 


159; Janisch, Privileg der Presse, SZ 
07.05.2013, 31). 


LG Augsburg 


Durchsuchungsanord- 
nung bei Redaktion war 
rechtswidrig 


Das Landgericht (LG) Augsburg stellte 
mit Beschluss vom 19.03.2013 in einem 
Beschwerdeverfahren fest, dass Belei- 
digung im Internet kein Grund für eine 
Durchsuchung einer Redaktion ist und 
hob einen Beschluss des Amtsgerichtes 
(AG) Augsburg auf (Az. x Qs 151/13). 
Ein CSU-Referent hatte sich von einem 
Nutzer im Online-Forum der „Augsbur- 
ger Allgemeinen“ beleidigt gefühlt. Das 
AG hatte auf dessen Initiative hin an- 
geordnet, die Daten des Nutzers zu be- 
schlagnahmen und hierfür die Durchsu- 
chung der Redaktion angeordnet. 

Die Polizei hatte am 28.01.2013 bei 
dem Verlag die persönlichen Daten eines 
Internetforumnutzers beschlagnahmt. 
Hintergrund war eine Strafanzeige des 
Augsburger Ordnungsreferenten Volker 
Ullrich (CSU), der sich beleidigt sah. 
Journalistenverbände hatten die Aktion 
scharf kritisiert und von einem überzoge- 
nen Vorgehen gesprochen. Ullrich, selbst 
Volljurist, fühlte sich durch folgenden 
Forenkommentar verunglimpft: „Die- 
ser Ullrich verbietet sogar erwachsenen 
Männern ihr Feierabendbier ab 20.00 
Uhr, indem er geltendes Recht beugt und 
Betreiber massiv bedroht!“ Der Foren- 
nutzer hatte mit diesen Worten kritisiert, 
dass Ordnungsreferent Ullrich gegen den 
Verkauf von Alkohol an Tankstellen nach 
20 Uhr vorgegangen war. 

Zu einer Durchsuchung der Redaktion 
war es zwar nicht gekommen, weil die 
Zeitung die Daten der Polizei übergab, 
um die drohende Durchsuchung zu ver- 
hindern. Die Richter des LG bemängel- 
ten nun, dass das AG gar keine Anord- 
nung zur Durchsuchung der Räume und 
Beschlagnahme der Daten hätte erlassen 
dürfen, da die Äußerungen des Users, 
durch die sich der Referent beleidigt 
fühlte, bei einer Gesamtbetrachtung als 
nicht strafbar anzusehen sei. Die Kritik 
an Ullrich stelle „lediglich eine subjek- 
tive Bewertung der Haltung des Ord- 
nungsreferenten dar, auch wenn diese 
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Bewertung in herabwürdigender Form 
erfolgte“. Nach der Rechtsprechung des 
Bundesverfassungsgerichts sei bei Äu- 
Berungen zu politischen Themen in der 
Öffentlichkeit der straffreie Bereich im 
Hinblick auf die Meinungsfreiheit weiter 
zu fassen als bei Äußerungen in der Pri- 
vatsphäre. 

Stoff für weitere Diskussionen wird 
folgende presserechtliche Aussage des 
LG abgeben: „Forum-User genießen 
nicht den Schutz der Pressefreiheit.“ 
Userbeiträge seien nicht dem redaktio- 
nellen Bereich zuzuordnen, Forum-User 
seien nicht als Informanten eines Presse- 
mitarbeiters anzusehen. Die Verantwor- 
tung für derartige Beiträge liege nach 
den Nutzungsbestimmungen des Fo- 
rums allein beim jeweiligen Nutzer, von 
deren Inhalt sich die Betreiberin aus- 
drücklich distanziere (Beschlagnahme 
bei der „Augsburger Allgemeinen“: An- 
ordnung der Durchsuchung war rechts- 
widrig, www.spiegel.de 20.03.2013; 
Mayr, Durchsuchung bei Zeitung rechts- 
widrig, SZ 21.03.2013, 34; Urteil abzu- 
rufen unter http://www.justiz.bayern. 
de/imperia/md/content/stmj_internet/ 
gerichte/landgerichte/augsburg/durch- 
suchung von _presser umen.pdf). 


LG Berlin 


Allgemeine 
Geschäftsbedingungen 
von Apple in wesentli- 
chen Teilen rechtswidrig. 


Der Verbraucherzentrale Bundesver- 
band (vzbv) hat die Apple Sales Interna- 
tional mit Sitz in Irland vor dem Land- 
gericht Berlin wegen der Allgemeinen 
Geschäftsbedingungen im _ Internet- 
Apple Store verklagt. Das Landgericht 
Berlin hat den Verbraucherschützern mit 
Urteil vom 30.04.2013 (Gesch.Z.: 15 O 
92/12) auf ganzer Linie Recht gegeben. 
Wir dokumentieren die wesentlichen 
Urteilsgründe des — nicht rechtkräftigen 
- Urteils, welches Folgen für alle Ge- 
schäfte des Apple Store mit Kundinnen 
und Kunden in Deutschland haben wird: 

In dem Rechtsstreit Verbraucherzent- 
rale Bundesverband e.V. ... gegen die 
Apple Sales International ... hat die Zi- 
vilkammer 15 des Landgerichts Berlin 
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in Berlin - Mitte, ... für Recht erkannt: 


I. Die Beklagte wird verurteilt, es ... 
zu unterlassen, nachfolgende oder mit 
diesen inhaltgleiche Bestimmungen in 
Verträge ... über Leistungen mit Verbrau- 
chern, die ihren gewöhnlichen Aufenthalt 
in der Bundesrepublik Deutschland ha- 
ben, einzubeziehen, sowie sich auf die 
Bestimmungen bei der Abwicklung der- 
artiger Verträge, geschlossen nach dem 
17. Dezember 2009, zu berufen: ... 

3. (Erheben und nutzen von personen- 
bezogenen Daten 

Wenn Sie mit Apple oder einem mit 
Apple verbundenen Unternehmen in 
Kontakt treten, können Sie jederzeit 
dazu aufgefordert werden, personenbe- 
zogene Daten von Ihnen anzugeben.) 

Apple und seine verbundenen Un- 
ternehmen können diese personenbe- 
zogenen Daten untereinander austau- 
schen und sie nach Maßgabe dieser 
Datenschutzrichtlinie nutzen. 

Sie können solche Daten auch mit 
anderen Informationen verbinden, 
um unsere Produkte, Dienstleistun- 
gen, Inhalte und Werbung anzubieten 
oder zu verbessern. 

4. (Welche personenbezogenen Daten 
erheben wir) 

Wenn du Inhalte mit Familie oder 
Freunden teilst und dabei Produkte 
von Apple verwendest, Geschenk- 
gutscheine und Produkte verschickst 
oder andere dazu einlädst, sich dir in 
einem Apple Forum anzuschließen, 
kann Apple die Daten erheben, wel- 
che du über diese Personen zur Ver- 
fügung stellst, wie Name, Adresse, E- 
Mail und Telefonnummer. 

5. (Wie wir personenbezogene Daten 
nutzen) 

Die personenbezogenen Daten, die 
wir erheben, erlauben uns, dich über die 
neuesten Apple Produktankündigun- 
gen, Softwareupdates und anstehenden 
Veranstaltungen zu informieren. 

Du hilfst uns auch damit, unsere 
Dienste, Inhalte und Werbung zu ver- 
bessern. 

(Wenn du nicht in unserem Verteiler 
sein möchtest, kannst du dich jederzeit 
abmelden, indem du deine Einstellun- 
gen änderst.) 

6. (Wie wir personenbezogene Daten 
nutzen) 

Wir nutzen personenbezogene Da- 


ten auch als Unterstützung, um un- 
sere Produkte, Dienste, Inhalte und 
Werbung zu entwickeln, anzubieten 
und zu verbessern. 

7. (Wie wir personenbezogene Daten 
nutzen) 

Wir können personenbezogene Da- 
ten auch für interne Zwecke nutzen, 
wie zur Datenanalyse und Forschung, 
um Apples Produkte, Dienste und die 
Kommunikation mit Kunden zu ver- 
bessern. 

8. (Weitergabe an Dritte) 

Mitunter wird Apple bestimmte 
personenbezogene Daten an strate- 
gische Partner weitergeben, die mit 
Apple zusammenarbeiten, um Pro- 
dukte und Dienste zur Verfügung zu 
stellen, oder die Apple beim Marke- 
ting gegenüber Kunden helfen. 

(Wenn du beispielsweise ein iPhone 
kaufst und aktivierst, ermöglichst du 
Apple und seinen Mobilfunkanbieter 
zum Austausch der Daten, die du wäh- 
rend des Aktivierungsprozesses bereit- 
stellst, um den Dienst zu ermöglichen. 
Wenn du für den Dienst zugelassen 
wirst, gelten die Datenschutzrichtlini- 
en von Apple bzw. seinem Mobilfunk- 
anbieter für deinen Account.) Die per- 
sonenbezogenen Daten werden von 
Apple nur weitergegeben, um (unsere 
Produkte, Dienste oder) unsere Wer- 
bung zu erbringen oder zu verbes- 
sern; (sie werden nicht an Dritte für de- 
ren Marketingzwecke weitergegeben). 

9. (Weitergabe an Dritte, Dienstleis- 
ter) 

Apple gibt personenbezogene Daten 
an Unternehmen weiter, die Dienst- 
leistungen erbringen, wie zum Bei- 
spiel die Verarbeitung von Informa- 
tionen, (Kreditgewährung, Ausführung 
von Kundenbestellungen, Lieferung von 
Produkten an dich), Verwaltung und 
Pflege von Kundendaten, (Erbringung 
eines Kundendienstes), die Bewertung 
deines Interesses an unseren Produk- 
ten und Leistungen sowie das Betrei- 
ben von Kundenforschung oder die 
Durchführung von Umfragen zur 
Kundenzufriedenheit. 

10. (Standortbezogene Dienste) 

Um standortbezogene Dienste auf 
Apple Produkten anzubieten, Kön- 
nen Apple und unsere Partner und 
Lizenznehmer präzise Standortdaten 
erheben, nutzen und weitergeben, ein- 
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schließlich des geographischen Stand- 
orts deines Apple Computers oder 
Geräts in Echtzelt. Diese Standortdaten 
werden in anonymisierter Weise erhoben, 
durch die du nicht persönlich identifiziert 
wirst. Diese werden von Apple und un- 
seren Partnern und Lizenznehmern 
verwendet, um dir standortbezoge- 
ne Produkte und dienste anzubieten 
und diese zu verbessern. Wir geben 
beispielsweise deinen geographischen 
Standort an Anwendungsdienstleister 
weiter wenn du deren Standortdienste 
auswählst. 


Der Kläger ist ein Verbraucherverband, 
der in die Liste der qualifizierten Einrich- 
tungen gemäß $ 4 UKlaG eingetragen 
ist. Die Beklagte vertreibt Computer- 
Hardware sowie Kommunikationsgerä- 
te. Sie betreibt unter der Internetadresse 
www.apple.com einen Telemediendienst, 
der in deutscher Sprache unter www. 
apple.de erreichbar ist. Über den Tele- 
mediendienst www.apple.com/de hält 
die Beklagte „Geschäftsbedingungen“, 
bezogen auf den „Apple Store“ bereit, 
hinsichtlich deren Einzelheiten auf die 
Anlage K 1 Bezug genommen wird. Fer- 
ner hält sie auf einer Unterseite die „App- 
le- Datenschutzrichtlinie“ bereit (Anlage 
K.2). Darin befinden sich die klägerseits 
beanstandeten, aus dem Tenor ersicht- 
lichen Passagen. Der Kläger erblickt in 
der „Apple Datenschutzrichtlinie“ Allge- 
meine Geschäftsbedingungen, die gegen 
8 307 Abs. 1 i. V. m, Abs. 2 Nr. 1 BGB, 
$$ 4, 4a BDSG; $$ 12, 13, 14 TMG; $ 94 
TKG; $ 7 Abs. 2 UWG verstießen. 

Soweit der Kläger zunächst angekün- 
digt hat, weiter zu beantragen, die Be- 
klagte zu verurteilen, folgende Klauseln 
zu verwenden: 


1. Am Ball bleiben! Haltet mich 
auf den Laufenden mit den aktuel- 
len Apple Infos. (Um zu erfahren, wie 
Apple Ihre persönlichen Informationen 
schützt, lesen Sie bitte die Datenschutz- 
Vereinbarung von Apple) soweit diese 
Einwilligungserklärung durch ein Häk- 
chen bereits voreingestellt ist. 

2. Am Ball bleiben! Haltet mich auf 
dem Laufenden mit den aktuellen Apple 
Infos. Um zu erfahren, wie Apple Ihre 
persönlichen Informationen schützt 
lesen Sie bitte die Datenschutz-Ver- 
einbarung von Apple 
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haben die Parteien im Hinblick auf die 
beklagtenseits abgegebene strafbewehr- 
te Unterlassungserklärung den Rechts- 
streit übereinstimmend in der Hauptsa- 
che für erledigt erklärt und mit wider- 
streitenden Kostenanträgen verhandelt. 


[Die Beklagte] sieht in den mit dem 
Klageanträgen zu 3. - 10. angegriffe- 
nen Bestimmungen, die Teil ihrer „Da- 
tenschutzrichtlinie‘“ sind, keine Allge- 
meinen Geschäftsbedingungen, die in 
Verträgen zwischen ihr und deutschen 
Verbrauchern einbezogen würden. Die 
darin enthaltene Information von Ver- 
brauchern sei nach den Bestimmungen 
der Richtlinie 95/46/EG (Richtlinie zum 
Schutz natürlicher Personen bei der Ver- 
arbeitung personenbezogener Daten und 
im freien Datenverkehr) und dem inso- 
weit anwendbaren irischen Recht erfor- 
derlich. Auch seien die Klageanträge zu 
unbestimmt, da im Falle einer Verurtei- 
lung unklar bliebe, welches Verhalten 
ihr zukünftig untersagt werden solle. Die 
klägerseits als „Allgemeine Geschäfts- 
bedingungen“ überreichte Anlage K 1 
datiere vom 27. Juni 2011 und sei im 
Hinblick auf datenschutzrechtliche As- 
pekte zwischenzeitlich geändert worden. 
Die - insbesondere im Klageantrag zu 3, - 
angegriffenen Bestimmungen unterfielen 
nicht den Anforderungen des deutschen 
Datenschutzrechts, da sie keine perso- 
nenbezogenen Daten durch eine Nie- 
derlassung in Deutschland erhebe. Auch 
liege keine unangemessene Benachteili- 
gung i. S. d. $ 307 Abs. 1 BGB vor, da 
für den durchschnittlichen Verbraucher 
erkennbar sei, dass den Bestimmungen 
der „Apple Datenschutzrichtlinie“ keine 
rechtsgeschäftliche Bedeutung zukom- 
me, sondern diese lediglich der allgemei- 
nen Information über Datenerhebung, 
-Verarbeitung oder -nutzung. ihrerseits 
dienten. Schließlich sei durch Abgabe 
einer strafbewehrten Unterlassungserklä- 
rung im Hinblick auf den angekündigten 
Antrag zu 2. auch die Wiederholungsge- 
fahr hinsichtlich der übrigen Unterlas- 
sungsanträge entfallen.... 

[Aus den Entscheidungsgründen:] H. 
In der Sache hat die Klage Erfolg. Die 
klägerseits beanstandeten Bestimmun- 
gen verstoßen gegen $ 307 Abs. 1 BGB. 
Insoweit ist hier hinsichtlich der Be- 
urteilung der Gesetzeskonformität der 
Klauseln deutsches Recht maßgeblich. 


Gemäß Art. 6 ROM-I-VO - ist bei Ver- 
trägen, die ein Verbraucher mit einem 
Unternehmer schließt, das Recht des 
Staates maßgeblich, in dem der Verbrau- 
cher seinen gewöhnlichen Aufenthalt 
hat, soweit die Tätigkeit des Unterneh- 
mens auf irgendeine Weise auf den Hei- 
matstaat des Verbrauchers ausgerichtet 
ist. Da die von der Beklagten verwende- 
ten Allgemeinen Geschäftsbedingungen 
keine Rechtswahlvereinbarungen vorse- 
hen, ist hinsichtlich deutscher Verbrau- 
cher deutsches Recht anwendbar. ... 

Entgegen der Auffassung der Beklag- 
ten handelt es sich - anders als in dem 
... Urteil der Kammer vom 26. Okto- 
ber 2012 - 15 O 449/09 -, in dem es um 
FAQ's ging, um Allgemeine Geschäfts- 
bedingungen i. S. d. $ 305 Abs. 1S. 1 
BGB. ... 

1. Klausel zu 3. (Erheben und Nut- 
zen von personenbezogenen Daten) 
Die Klausel verstößt gegen $ 307 Abs. 
1 i. V. m. Abs. 2 Nr. 1 BGB, $$ 4, 4a 
BDSG; $$ 12, 13TMG. Sie differenziert 
nicht zwischen unterschiedlichen Da- 
tenbeständen. Umfasst sind also sowohl 
Daten, die der Verbraucher im Rahmen 
eines Bestellprozesses übermittelt, als 
auch die Daten der Nutzung eines Te- 
lemediendienstes. Sie stellt damit eine 
globale Einwilligung in Datenverarbei- 
tungsprozesse dar, ohne dass der Um- 
fang der Einwilligung dem Verbraucher 
hinreichend transparent gemacht wird ($ 
4a BDSG). 

Klausel zu 4. (Welche personenbezo- 
genen Daten erheben wir) Auch diese 
Bestimmung verstößt gegen $ 307 Abs. 
1 i. V. m. Abs. 2 Nr. 1 BGB, $$ 4, 4a 
BDSG; $$ 12, 13, 14 TMG. Die Klausel 
benennt den Zweck der Erhebung nicht. 
Es wird keine Auskunft darüber erteilt, 
wie die Daten von der Beklagten genutzt 
werden. Sie führt zu einer Einwilligung 
zulasten Dritter. Dies führt dazu, dass 
der betroffene Verbraucher entgegen 
$ 4a BDSG entgegen dem Gesetzes- 
zweck weder eine bewusste noch eine 
„ohne jeden Zweifel“ erfolgte Erklä- 
rung hinsichtlich der Datenverwendung 
abgibt Die Klausel erweckt zudem den 
Eindruck, als sei die Erhebung der Da- 
ten durch die Einwilligung des erklären- 
den Verbrauchers legitimiert. Dies führt 
dazu, dass der betroffene Verbraucher u. 
U. von der Geltendmachung ihm zuste- 
hender Rechte absieht. 
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Klausel zu 5. (Wie wir personenbezo- 
gene Daten nutzen) Auch diese Klausel 
verstößt gegen $ 307 Abs. 1 ı. V. m. Abs 
2 Nr. 1 BGB, $$ 4, 4a BDSG; $$ 12, 13 
TMG. Sie stellt eine Pauschaleinwil- 
ligung dar. Eine gesonderte Erklärung 
hinsichtlich des genannten Zweckes ist 
bei der vorliegenden Klausel nicht vor- 
gesehen. Sie erweckt den Eindruck ei- 
ner zwingenden, nicht zu verhindernden 
Einwilligung seitens des Verbrauchers. 

Klausel zu 6. (Wie wir personenbezo- 
gene Daten nutzen - Teil 2 -) Auch diese 
Klausel verstößt gegen $ 307 Abs. 11. V. 
m. Abs. 2 Nr. 1 BGB, $$ 4, 4a BDSG; $$ 
12, 13 TMG. Die Klausel bezieht sich 
auf wörtliche Zwecke der Beklagten, 
ohne eine Auskunft darüber zu geben, 
welche der vom Verbraucher erhobenen 
Daten genutzt werden und wie dies im 
Einzelnen erfolgen soll. Auch insoweit 
wird der Verbraucher über die Möglich- 
keit der Verhinderung der Einwilligung 
getäuscht. 

Klausel zu 7. (Wie wir personenbezo- 
gene Daten nutzen - Teil 3 -) Auch diese 
Klausel verstößt gegen $ 307 Abs. 1 1. V. 
m. Abs. 2 Nr. 1 BGB, $$ 4, 4a BDSG; $$ 
12, 13 TMG. Sie bezieht sich auf perso- 
nenbezogene Daten, hinsichtlich derer 
die Beklagte von der Möglichkeit der 
Anonymisierung der Daten keinen Ge- 
brauch macht. Die Klausel ist wie zuvor 
dargelegt eingebunden in die globale 
Einwilligung. Sie enthält keine inhalt- 
liche Erklärung zu den konkreten Da- 
tenverarbeitungsprozessen und erweckt 
den - auch bei den vorherigen Klauseln 
beanstandeten - Eindruck einer wirksa- 
men Einwilligung. 

Klausel zu 8. (Weitergabe an Dritte) 
Die Klausel verstößt gegen $ 307 Abs. 
1 i. V. m. Abs. 2 Nr. 1 BGB, $$ 4, 4a 
BDSG; $$ 12, 13 TMG; $94 TKG. Die 
Klausel gibt keinen Aufschluss darüber, 
an welche konkreten Institutionen die 
Daten weitergegeben werden sollen. 
Sie geht damit eindeutig über den Be- 
reich der Vertragserfüllung ($ 28 Abs. 
1 Nr. 1 BDSG) hinaus. Sie bezieht sich 
auch auf Nutzungsdaten, beispielsweise 
des Telekommunikationsanbieters. Sie 
erlaubt insofern einen Datenaustausch 
und damit die Nutzung der Beklagten 
von Daten im Anwendungsbereich der 
$$ 91 ff. TKG. Nach $ 94 Nr. 1 TKG 
muss die in diesem Zusammenhang er- 
teilte Einwilligung jedoch „eindeutig“ 
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erteilt werden. Des Weiteren bedarf es 
einer Protokollierung. 

Klausel zu 9. (Weitergabe an Dritte, 
Dienstleister) Diese Klausel verstößt ge- 
gen $ 307 Abs. 1 i. V. m. Abs. 2 Nr. 1 
BGB, $$ 4, 4a BDSG; $$ 12, 13 TMG; $ 
94 TKG; $ 7 Abs. 2 UWG. Die vorliegen- 
de Klausel bezieht sich auf die Zwecke 
der Werbung, wie sich aus der Formu- 
lierung „Bewertung deines Interesses an 
unseren Produkten“ ergibt. Die Regelung 
ermächtigt die Beklagte demzufolge, die 
personenbezogenen Daten des Kunden 
an Dritte weiterzugeben. Damit wird der 
Eindruck einer unwirksamen Einwilli- 
gung auch im Hinblick auf unerbetene 
Werbung erklärt, was zu einer unange- 
messenen Benachteiligung des Bestellers 
i,S. d. $ 307 BGB führt. 

Klausel zu 10. (Standortbezogene 
Dienste) Auch diese Klausel verstößt ge- 
gen $ 307 Abs. 1 i. V. m. Abs. 2 Nr. 1 
BGB; $$ 4, 4a BDSG; $$ 12,13 TMG; $ 
94 TKG. Der Verbraucher erklärt mit die- 
ser Regelung, dass Daten im Zusammen- 
hang mit der Nutzung von Diensten der 
Beklagten „erhoben, genutzt und weiter- 
gegeben“ werden. Trotz der zugesagten 
„Anonymisierung“ ist - in dem für den 
Verbraucher ungünstigsten Fall - davon 
auszugehen, dass die Daten personenbe- 
ziehbar sein werden, da „standortbezo- 
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gene Produkte und Dienste“ angeboten 
werden sollen, was ohne eine hinreichen- 
de Individualisierung des angesproche- 
nen Kunden nicht möglich wäre. 

[Aus der Kostenentscheidung: DJie 
mit einem Häkchen voreingestellte For- 
mulierung „Am Ball bleiben - Haltet 
mich auf dem Laufenden mit den aktu- 
ellen Apple Infos. ...“ verstieß gegen $ 
307 Abs. 1 i. V. m. Abs. 2 Nr. 1 BGB, $ 
7 Abs. 2 UWG. Denn der Verbraucher 
erklärt hiermit - möglicherweise unge- 
wollt -die vorherige Einwilligung mit 
der Übermittlung unerwünschter Wer- 
bung. Auch der zweite Teil (Hinweis 
auf die Datenschutzvereinbarung) ist 
unzulässig, da hierdurch in Verbindung 
mit Ziff. 14 der AGB der Eindruck ei- 
ner ausdrücklichen - nicht abdingbaren 
- Einwilligung erweckt wird. ... 

Siehe auch Seite 60 in diesem Heft. 


LG Dresden 


Massenhafte 
Funkzellenabfrage war 
unzulässig 


Das Landgericht (LG) Dresden ent- 
schied mit Beschluss vom 17.04.2013, 
dass zwei Funkzellenabfragen um den 


ABER WIESO DENN? DAS HAT DOCH 
AUCH EINEN RIESIGEN VORTEIL: 
EINE ONLINE-FESTPLATTENDURCH- 
SUCHUNG WÄRE DANN PRAKTISCH 
NICHT MEHR DURCHFÜHRBAR.. 
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19.02.2011 im Bereich der Semperoper 
in Dresden rechtswidrig waren (Az. 15 
Qs 34/12). Die hierbei erhobenen Da- 
ten sind wieder zu löschen. Die Abfra- 
ge einer anderen Funkzelle bewertete 
das Gericht für zulässig. Auf Antrag 
der Staatsanwaltschaft Dresden waren 
mehrere Dutzend Funkzellen abgefragt 
worden. Die Polizei hatte angegeben, 
mit der Aktion herausfinden zu wollen, 
ob Verdächtige, die in der Vergangen- 
heit Polizisten angegriffen hatten, an 
der Demo teilnahmen. Wer sich in der 
Dresdner Südvorstadt aufhielt und ein 
eingeloggtes Mobiltelefon in der Ta- 
sche hatte, wurde so erfasst: Wer hatte 
wann mit wem telefoniert und sich da- 
bei wo aufgehalten. Die Polizei erhob 
mehr als eine Million Datensätze und 
von mehr als 54.000 Mobilfunknutzern 
die sogenannten Stammdaten (Name, 
Adresse). Nach Presseberichten un- 
ter Berufung auf die Linke sollen bei 
der Gesamtaktion sogar mehr als eine 
Million Verkehrsdatensätze mit über 
320.000 Rufnummern betroffen gewe- 
sen sein. Die Daten wurden auch bei 
Ermittlungen gegen Personen genutzt, 
die eine angemeldete Demonstration 
gestört haben sollen (DANA 3/2011, 
119). 

Das Amtsgericht (AG) Dresden hatte 
die Funkzellenabfrage zunächst geneh- 
migt und anschließend die eigene Ent- 
scheidung für rechtens erklärt. Den Be- 
schluss begründete das AG damit, dass 
Straftaten von erheblicher Bedeutung 
verfolgt wurden und daher die Abfra- 
gen erforderlich und angemessen ge- 
wesen seien. Das LG hob zwei der Be- 
schlüsse vor allem aus formellen Grün- 
den auf. In den Beschlüssen war kein 
Bezug zu schweren Gewalttätigkeiten 
hergestellt worden. Weitere Argumente 
gegen die Ermittlungsmaßnahme, ins- 
besondere, dass unverhältnismäßig ge- 
gen eine viel zu unbestimmte Zahl von 
Personen vorgegangen wurde, wurden 
vom LG nicht anerkannt (Landgericht 
erklärt Funkzellenabfrage auf Demo für 
rechtswidrig, www.zeit.de 23.04.2013; 
Sachsen: Funkzellenabfrage bei Anti- 
Nazi-Protest war rechtswidrig, www. 
heise.de 25.04.2013; Volltextveröffent- 
lichung:  http://www.johannes-lichdi. 
de/fileadmin/user_upload/Judica/Han- 
dygate_LG_Dresden.pdf). 
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BayVGH 


Automatisierte 
Kennzeichenerfassung 
zulässig 


Gemäß einem Urteil des Bayerischen 
Verwaltungsgerichtshofes (BayVGH) in 
München vom 17.12.2012 ist die au- 
tomatisierte Kennzeichenerfassung im 
Freistaat Bayern rechtlich nicht zu be- 
anstanden (Az. 10 BV 09.2641). Allein 
die Erfassung der Autokennzeichen und 
ihr Abgleich mit polizeilichen Fahn- 
dungsdaten stelle noch keinen Eingriff 
in das Grundrecht auf informationelle 
Selbstbestimmung dar, soweit die Fahr- 
zeugdaten danach sofort und spurenlos 
gelöscht werden (sog. „Nichttreffer“). 
Geklagt hatte ein Pendler, der auf sei- 
ner Strecke regelmäßig Geräte zur au- 
tomatisiertten Kennzeichenerkennung 
und -erfassung passiert. Mit seiner Kla- 
ge wollte er erreichen, dass die Polizei 
Kennzeichen von auf ihn zugelassenen 
Fahrzeugen nicht mehr durch den ver- 
deckten Einsatz automatisierter Kenn- 
zeichenerkennungssysteme erfasst und 
mit polizeilichen Dateien abgleicht. Es 
ging ihm darum, eine ständige polizeili- 
che Überwachung in der Art eines „Be- 
wegungsbildes“ zu verhindern. 

Gemäß dem Urteil des BayVGH hat 
das Verwaltungsgericht (VG) München 
die Klage zu Recht abgewiesen. Zwar 
liege ein konkreter Grundrechtseingriff 
in der nicht auszuschließenden fehler- 
haften Erfassung der Kennzeichen (sog. 
„unechter Treffer“), weil in diesem Fall 
eine Nachkontrolle durch einen Polizei- 
beamten erfolge. Dieser Eingriff sei aber 
gerechtfertigt. Die Vorschriften, die die 
automatisierte Kennzeichenerfassung 
ermöglichen, seien verfassungsgemäß. 
Der bayerische Gesetzgeber sei zu der 
den Kläger betreffenden Regelung zu- 
ständig, weil sie im Ergebnis rein prä- 
ventiven Charakter habe. Die Frage 
der Gesetzgebungskompetenz für eine 
Regelung zur weiteren Verwendung der 
durch die Kennzeichenerfassung erho- 
benen Daten, evtl. auch im Rahmen 
strafverfolgender Tätigkeit sei nicht 
Gegenstand des entschiedenen Falls. 
Die einschlägigen Vorschriften des Po- 
lizeiaufgabengesetzes (PAG) seien hin- 
reichend bestimmt, die Löschung der 


erhobenen Daten klar geregelt. Das ver- 
fassungsrechtliche Gebot der Verhält- 
nismäßigkeit werde noch gewahrt. Der 
Gesetzgeber habe schwerwiegende Ein- 
griffe, die nur zu besonders gewichtigen 
Zwecken erfolgen dürften, von vornhe- 
rein ausgeschlossen oder eng begrenzt. 
So sei es nur in besonderen Fällen zu- 
lässig, Einzelerfassungen zu einem Be- 
wegungsbild zu verbinden. Der flächen- 
deckende Einsatz der Kennzeichener- 
fassung sei grundsätzlich nicht erlaubt. 
Da die Kennzeichenerfassung und der 
Datenabgleich nicht anlasslos und nur 
bei Vorliegen bestimmter Gefahrenla- 
gen erfolgten, werde keine unbegrenzte 
Kontrolle aller Verkehrsteilnehmer aus- 
geübt. Auch ein rechtswidriger Vollzug 
der gesetzlichen Bestimmungen liege 
derzeit in Bayern nicht vor (Bayerischer 
Verwaltungsgerichtshof erklärt automa- 
tisierte Kennzeichenerfassung für zu- 
lässig; http://www.kostenlose-urteile.de 
15.03.2013; Gericht erlaubt Nummern- 
Kontrolle, SZ 16./17.03.2013, 47). 


VG Freiburg 


Dauerobservation von 
früherem Sexualstraftäter 
gestoppt 


Das Verwaltungsgericht (VG) Frei- 
burg untersagte der Polizeidirektion 
Freiburg mit Urteil vom 14.02.2013, die 
Observation eines mehrfach verurteilten 
Sexualstraftäters weiter fortzuführen 
(Az. 4 K 1115/12). Für die jahrelange 
Observation als rückfallgefährdet an- 
gesehener Sexualstraftäter zum Zwecke 
der Verhinderung erneuter Sexualstraf- 
taten fehlt es in Baden-Württemberg 
derzeit an einer Rechtsgrundlage. Der 
Kläger des zugrunde liegenden Streit- 
falls war im September 2010 aufgrund 
eines Urteils des Europäischen Gerichts- 
hofs für Menschenrechte (EGMR) aus 
der Sicherungsverwahrung entlassen 
worden. Dort hatte er sich zwanzig Jah- 
re lang - davon zehn Jahre zu Unrecht 
- befunden, weil er in der Zeit von 1976 
bis 1985 Vergewaltigungen begangen 
hatte, dafür mehrfach verurteilt und seit 
Verbüßung seiner letzten Haftstrafe als 
rückfallgefährdet eingeschätzt worden 
war. Seit der Entlassung aus der Siche- 
rungsverwahrung waren ihm in den letz- 
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ten zwei Jahren außerhalb seiner Woh- 
nung Zivilbeamte auf Schritt und Tritt 
überall hin gefolgt, um so womöglich 
erneuten Sexualstraftaten vorzubeugen. 

Das VG Freiburg führte aus, dass 
diese insgesamt 17 mal vom Leiter der 
Polizeidirektion Freiburg für jeweils 
mehrere Wochen angeordnete Dauer- 
observation einen schweren Grund- 
rechtseingriff darstelle. Auch einem 
Mehrfach-Sexualstraftäter stehe ein 
Recht auf einen Bereich autonomer pri- 
vater Lebensgestaltung außerhalb seiner 
häuslich privaten Sphäre zu. Für einen 
solchen Eingriff in das Persönlichkeits- 
recht bedürfe es einer speziellen und 
ausdrücklichen gesetzlichen Grundlage. 
Diese fehle hier. 

Die Vorschrift im Landespolizeigesetz 
(PoIG), die „als besonderes Mittel der 
Datenerhebung“ eine - ohnehin nur zeit- 
lich begrenzte - Observation zum Zwe- 
cke der Sammlung personenbezogener 
Daten des Observierten zulasse, tauge 
nicht als Rechtsgrundlage für die jah- 
relange Dauerüberwachung. Denn im 
vorliegenden Fall gehe es nicht um die 
Gewinnung von Erkenntnissen über die 
persönlichen oder sachlichen Verhältnis- 
se oder um die Herstellung von Bewe- 
gungsprofilen des der Polizei ja bereits 
wohlbekannten Klägers. Vielmehr diene 
die völlig offene Überwachung in Form 
seiner dauernden Begleitung durch Zi- 
vilbeamte allein der Abwehr von ihm 
womöglich ausgehender Übergriffe. 
Dafür sei die gesetzliche Regelung aber 
nicht geschaffen worden. Bereits der 
Verwaltungsgerichtshof Baden-Würt- 
temberg habe im Herbst 2011 Zweifel 
an der Tauglichkeit dieser Vorschrift 
als Rechtsgrundlage für eine jahrelange 
Dauerüberwachung geäußert. Trotzdem 
habe der Gesetzgeber bis heute keine 
neue spezielle Gesetzesgrundlage ge- 
schaffen. Die Vorschrift könne deshalb 
nicht - auch nicht mehr übergangsweise 
- als noch ausreichende Rechtsgrundla- 
ge herangezogen werden. 

Das gelte auch für die Bestimmung im 
PoIG, welche die Polizei ganz pauschal 
ermächtige, zur „Abwehr von Gefahren 
für die öffentliche Sicherheit“ die „nach 
ihrem Ermessen erforderlichen“ Maß- 
nahmen zu treffen. Auf diese Vorschrift 
lasse sich die langjährige Observation 
jedenfalls heute nicht einmal mehr über- 
gangsweise stützen. Der demokratisch 
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legitimierte Gesetzgeber dürfe nämlich 
wesentliche Entscheidungen nicht der 
Verwaltung als vollziehender Gewalt 
überlassen. Vielmehr sei er gehalten, für 
intensive, besondere polizeiliche Ein- 
griffe deren Anlass, Zweck und Grenzen 
selbst hinreichend klar und bestimmt 
durch eine spezifische gesetzliche Er- 
mächtigungsvorschrift ausdrücklich 
festzulegen. Das habe der Gesetzgeber 
aber bisher trotz ausreichend langer 
Übergangszeit nicht getan. 

Das VG führte außerdem aus, dass die 
Observation nicht nur mangels gesetzli- 
cher Grundlage rechtswidrig sei. Selbst 
wenn die genannten Vorschriften bis zu 
einer speziellen Regelung der Materie 
durch den Gesetzgeber noch übergangs- 
weise als Grundlage akzeptiert würden, 
fehle es im konkreten Fall an einer vom 
Kläger für Dritte noch ausgehenden ak- 
tuellen und konkreten Gefahr. Zu dieser 
Einschätzung kam das Gericht aufgrund 
der in der fünfstündigen mündlichen 
Verhandlung durchgeführten ausführ- 
lichen Anhörung des Klägers selbst, 
seines Bewährungshelfers, des behan- 
delnden Psychotherapeuten und der ihn 
überwachenden Polizeibeamten. Das 
letzte Gutachten, das dem Kläger noch 
eine gewisse Rückfallgefährdung attes- 
tiere, stamme noch aus der Zeit der Si- 
cherungsverwahrung. Nach der Recht- 
sprechung des Bundesverfassungsge- 
richts müsse eine aktuelle Prognose aber 
auf der Basis des Verhaltens in Freiheit 
angestellt werden. Insoweit aber erge- 
be sich eine Gefährdung entgegen der 
Ansicht der Polizei nicht schon dar- 
aus, dass der Kläger nicht ausreichend 
mit den ihn überwachenden Polizisten 
kooperiere. Denn dazu sei er rechtlich 
nicht verpflichtet. Der Kläger sei seit 
der Erledigung der Sicherungsverwah- 
rung im Jahr 2010 ein freier Mann, der 
die Weisungen der Führungsaufsicht 
einzuhalten habe, was er auch tue, der 
sich aber im Übrigen ebenso verhalten 
könne wie jeder andere freie Mensch. 
Der Kläger sei insbesondere nicht ver- 
pflichtet, seine Aktivitäten, insbesonde- 
re Fahrradtouren, den observierenden 
Polizeibeamten vorher ankündigen. Für 
das Gelingen der Observation müsse er 
nicht Sorge tragen. Unkooperatives Ver- 
halten in diesem Zusammenhang könne 
ihm daher nicht vorgeworfen werden. 
Der Kläger nehme im Übrigen regel- 


mäßig und pünktlich, ohne dass er dazu 
verpflichtet sei, an einer wöchentlichen 
Psychotherapie teil und habe nach Aus- 
sagen des Therapeuten nachvollziehbar 
Fortschritte gemacht. Der Bewährungs- 
helfer schätze wie auch der behandelnde 
Psychologe das Risiko als sehr gering 
ein. Da es keine Anhaltspunkte für eine 
Gefährlichkeit des Klägers gebe, sei die 
Dauerüberwachung einzustellen (Keine 
polizeiliche Dauerobservation eines frü- 
heren Sexualstraftäters, www.kostenlo- 
se-urteile.de 22.03.2013). 


BAG 


Arbeitgeber darf Daten- 
schutz bei Betriebsrat 
nicht kontrollieren 


Das Bundesarbeitsgericht (BAG) ent- 
schied mit Beschluss vom 18.07.2012, 
dass der Arbeitgeber dem Betriebsrat 
keine Vorschriften zur Einhaltung des 
Bundesdatenschutzgesetzes (BDSG) 
machen darf (Az.: 7 ABR 23/11). Der 
Betriebsrat eines Einzelhandelsunter- 
nehmens hatte einen Sammelaccount 
gefordert, bei dessen Nutzung sich das 
einzelne Betriebsratsmitglied nicht un- 
ter seinem Namen anmelden muss. Der 
Arbeitgeber lehnte dies aus Gründen des 
Datenschutzes ab. Er wolle gemäß $ 9 
Satz 1 BDSG und dessen Anlage nach- 
verfolgen, wer auf den Rechner zugreift, 
um so eine möglichst effektive Eingabe- 
kontrolle zu haben. Das BAG entschied 
jedoch, dass der Arbeitgeber dem Be- 
triebsrat beim Datenschutz keine Vor- 
schriften machen dürfe. Die Arbeitneh- 
mervertreter könnten vom Arbeitgeber 
die Einrichtung eines Gruppenaccounts 
verlangen, der es dem Unternehmen 
nicht ermöglicht, die Internetnutzung 
durch die einzelnen Betriebsratsmit- 
glieder nachzuvollziehen. Das BDSG 
schreibe zwar für den Rechner des Be- 
triebsrats datenschutzrechtliche Siche- 
rungen vor. Für entsprechende Maß- 
nahmen müsse der Betriebsrat jedoch in 
eigener Verantwortung sorgen. Er habe 
daher auch eigenständig darüber zu be- 
schließen, wie er den Anforderungen 
des Datenschutzes Rechnung trägt. 

Aus der Entscheidung ergibt sich in- 
direkt, dass der Betriebsrat auch selbst 
darüber entscheidet, welche Beschäftig- 
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tendaten er zur Erfüllung seiner Aufga- 
ben erhebt und verwendet. In einer an- 
deren Entscheidung zum Umfang des 
Kontrollrechts des Betrieblichen Da- 
tenschutzbeauftragten (DSB) hatte das 
Gericht entschieden, dass dieser den 
Betriebsrat nicht daraufhin kontrol- 
lieren darf (oder muss), ob er die Vor- 
schriften zum Datenschutz beachtet. 
Schließlich würde der Datenschutzbe- 
auftragte vom Arbeitgeber ausgesucht 
(Wybitul, Welche Daten über mich darf 
der Arbeitgeber verlangen? www.faz. 
net, 10.02.2013; juris.bundesarbeitsge- 
richt.de). 


VG Wiesbaden 


Verwertungsverbot für 
unzulässig gespeicherte 
Daten 


Am Beispiel der von dem Bundeskri- 
minalamt geführten Datei „Visa-KzB- 
Verfahren“ zeigt das VG Wiesbaden in 
dem Urteil vom 04.04.2013 - Gesch.Z.: 
6 K 910/12.W1.A - dass Daten aus Da- 
teien, welche ohne hinreichende Rechts- 
grundlage und unter Verstoß gegen for- 
melles Datenschutzrecht errichtet wur- 
den, auch einer richterlichen Entschei- 
dungsfindung nicht zu Grunde liegen 
dürfen. Wie dokumentieren Auszüge 
dieser Entscheidung: 


Leitsätze: 


1.Die INPOL-A-Datei „Visa-KzB-Ver- 
fahren“ ist rechtswidrig. 


2.Die Art der Daten, die in polizeilichen 
Informationssystemen des BKA ge- 
speichert werden dürfen, sind durch 
Rechtsverordnung zu regeln. 


3.Die Verarbeitung von Visa-Daten er- 
folgt nach allgemeinen datenschutz- 
rechtlichen Grundsätzen, dies mit der 
Folge, dass eine Meldung vorliegen 
und eine Vorabkontrolle durch den be- 
hördlichen Datenschutzbeauftragten 
erfolgen muss. 


4.Sind Daten rechtswidrig gespeichert, 
so sind sie zu löschen. 
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5.Rechtswidrig gespeicherte Daten un- 
terliegen einem Verwertungsverbot. 


[Aus der Entscheidungsbegrün- 
dung:] Der Kläger ... meldete sich am 
23.05.2012 bei der Erstaufnahmeein- 
richtung ... und wurde am selben Tag 
vom Bundesamt für Migration und 
Flüchtlinge erkennungsdienstlich be- 
handelt. ... Zu seiner Einreise machte 
er bei seiner Anhörung keinerlei Anga- 
ben. ... Mit Bescheid des Bundesam- 
tes für Migration und Flüchtlinge vom 
20.07.2012 wurde festgestellt, dass die 
Voraussetzungen für die Zuerkennung 
der Flüchtlingseigenschaft und Abschie- 
beverbote nach $ 60 Abs. 2- 7 AufenthG 
nicht vorliegen. ... Zur Begründung 
wurde im Wesentlichen ausgeführt, 
dass die Glaubhaftigkeit des Klägers 
bereits deshalb erheblich gemindert sei, 
weil bereits die Glaubhaftigkeit seiner 
Fluchtschilderung wegen seiner Weige- 
rung, den Reiseweg zu schildern, nicht 
gegeben sei. ... Die Beklagte .. legt im 
Weiteren Asylverfahren einen Auszug 
aus der Datei „Visa-KzB-Verfahren‘“ des 
Bundeskriminalamtes (BKA) vor, aus 
dem sich ergibt, dass dem Kläger von 
der __ Botschaft in _ ein Visum ... 
ausgestellt worden war. Aus der legalen 
Ausreise ergebe sich, dass keine Verfol- 
gungsabsicht des ___ Staates vorliege. 
Durch das Vorenthalten von Informatio- 
nen zu den näheren Umständen der Aus- 
reise, welche eben auch Informationen 
über die Notwendigkeit der Flucht und 
damit des Verfolgungsgeschehens mit 
sich führten, habe der Kläger in einer 
bedenklichen und erklärungsbedürftigen 
Weise die Rezeption seines Sachvor- 
trags gesteuert und nachträglich gerade 
manipuliert. 

Die zulässige Klage ist begründet. 
... Soweit die Beklagte unter Vorlage 
aus dem Ausdruck der Datei Visa-KzB- 
Verfahren und den daraus beruhenden 
Erkenntnissen die Unglaubwürdigkeit 
des Vortrages des Klägers zu begründen 
versucht, unterliegen diese Informatio- 
nen einem Verwertungsverbot. Denn die 
INPOL-A-Datei „Visa-KzB-Verfahren“ 
ist rechtswidrig, soweit diese Datei ihre 
Rechtsgrundlage in $ 7 BKA-Gesetz hat. 
... Insoweit regelt $ 7 Abs. 1 BKA-Ge- 
setz, dass das BKA personenbezogene 
Daten speichern, verändern und nutzen 
kann, soweit dies zur Erfüllung seiner 


jeweiligen Aufgaben als Zentralstelle er- 
forderlich ist. Soweit das BKA Dateien 
als Zentralstelle im polizeilichen Infor- 
mationssystem nach $ 11 BKA-Gesetz 
führt, sind gemäß $ 7 Abs. 6 BKA- 
Gesetz durch Rechtsverordnung des 
Bundesministeriums des Innern, welche 
mit Zustimmung des Bundesrates zu er- 
gehen hat, dass Nähere über die Art der 
Daten, die gespeichert werden dürfen, zu 
regeln ... Die Verordnung über die Art 
der Daten, die nach $$ 8 und 9 BKAG 
gespeichert werden dürfen, regelt mithin 
sämtliche Daten, die im polizeilichen 
Informationssystem gespeichert werden 
dürfen. Die Verordnung enthält jedoch 
nicht die Daten, welche im Visa-KzB- 
Verfahren ebenfalls erforderlich sind, 
wie z. B. Einreisedatum, Ausreisedatum, 
gewünschte Aufenthaltsdauer, Zweck 
des Aufenthalts, FIS-Aktenzeichen, pri- 
vilegierter Familienangehöriger eines 
EU-Bürgers, usw.. Damit fehlt es bereits 
an der erforderlichen Bestimmung der 
Art der Daten, die nach $$ 8 und 9 BKA- 
gespeichert werden dürfen, dies mit der 
Folge, dass die Datenspeicherung beim 
BKA rechtswidrig ist (vgl. VG Gießen, 
Urteil vom 29.04.2002, Az. 10 E 141/01 
- nach Juris, OVG Lüneburg, Urteil vom 
16.12.2008, Az. 11 LC 229/08 - nach Ju- 
ris). 

Soweit sich das BKA als Ermächtigung 
zur Datenspeicherung auch auf $ 73 
Abs. 3 Satz 3 AufenthG und Art. 22 und 
31 Visa-Kodex beruft, ändert dies an der 
rechtswidrigen Speicherung der Daten 
nichts. $ 73 Abs. 3 Satz 3 AufenthG re- 
gelt lediglich, dass die in Satz 1 genann- 
ten Behörden (u. a. BKA) die übermittel- 
ten Daten speichern und nutzen dürfen, 
soweit dies zur Erfüllung ihrer gesetz- 
lichen Aufgaben erforderlich ist. Dies 
bedeutet jedoch keine Ermächtigung zu 
einer Speicherung in einem polizeilichen 
Informationssystem. Insoweit liegt ein 
Verstoß gegen die bereichsspezifischen 
Regelungen des BKA-Gesetzes vor. 

Auch sind die Regelungen aus der 
Verordnung (EG) Nr. 810/2009 des Eu- 
ropäischen Parlaments und des Rates 
vom 13.07.2009 über einen Visa-Kodex 
der Gemeinschaft (Visa-Kodex) (Abl. 
L 234 v. 15.09.2009) zuletzt geändert 
durch Verordnung Nr. 153/2012 vom 
15.02.2012 (L 58, S. 3) keine Rechts- 
grundlage zu einer Speicherung in ei- 
nem polizeilichen Informationssystem. 
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Vielmehr ergibt sich aus Art. 22 Visa- 
Kodex VO lediglich, dass zentrale Be- 
hörden eines Mitgliedstaates bei der 
Prüfung der Staatsangehörigen von spe- 
zifischen Drittländern zu konsultieren 
sind für Frage, ob Einwände gegen ein 
Visum bestehen bzw. gem. Art. 31 ein 
Mitgliedstaat verlangen kann, dass sei- 
ne zentrale Behörde von den Konsulaten 
anderer Mitgliedstaaten entsprechend 
informiert werden. Damit ist lediglich 
eine Rechtsgrundlage zur Übermittlung 
der Daten zum Zwecke der entspre- 
chenden Entscheidung, vorliegend Visa- 
Erteilung „ja“ oder „nein“, von anderen 
europäischen Staaten an zentrale Be- 
hörden - hier das BKA - geregelt. Nicht 
jedoch, wie die zentralen Behörden mit 
den Daten nach dieser Entscheidung 
weiter umzugehen haben. 

Vielmehr ergibt sich aus Erwägungs- 
grund 12 der Verordnung Nr. 810/2009, 
dass für personenbezogene Daten, die 
von den Mitgliedstaaten in Anwendung 
dieser Verordnung verarbeitet werden, 
die Richtlinie 95/46 EG des Europäi- 
schen Parlaments und des Rates vom 
24.10.1995 zum Schutz natürlicher Per- 
sonen bei der Verarbeitung personenbe- 
zogener Daten und zum freien Datenver- 
kehr (EG-Datenschutzrichtlinie, ABl. L 
281 vom 23.11.1995, S. 31) Anwendung 
findet. Dies bedeutet insoweit, dass 
Art. 3 Abs. 2 EG-Datenschutzrichtlinie, 
welcher sich auf die öffentliche Sicher- 
heit und Strafverfolgung bezieht, vorlie- 
gend gerade keine Anwendung findet. 

Mithin hätte das BKA, soweit es die 
Visa-Daten weiterhin speichern will, die 
Datenspeicherung nach allgemeinen da- 
tenschutzrechtlichen Grundsätzen (Er- 
forderlichkeit und Zweckbindung, vgl. 
$ 14 BDSG) durchführen müssen, mit 
der Folge, dass die Datei nicht als Zen- 
traldatei im Rahmen eines polizeilichen 
Informationssystems, sondern als allge- 
meine Datei zu führen wäre und damit 
einer Meldung nach Art. 18 EG-Daten- 
schutzrichtlinie unterliegt. Dies mit der 
Folge, dass eine Meldung gemäß $ 4 e 
BDSG zum Zeitpunkt der Verarbeitung 
hätte vorliegen müssen (vgl. EuGH, Ur- 
teil vom 09.11.2010, Az. C-92/09 u.a., 
Rdnr. 101). 

Auch hätte es eine Vorabkontrolle 
durch den behördlichen Datenschutzbe- 
auftragten des BKA gemäß $ 4 d Abs. 
5 und 6 BDSG bedurft, da die Daten 
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gerade dazu bestimmt sind, die Persön- 
lichkeit des Betroffenen zu bewerten 
(Visa-Erteilung: ja oder nein). Eine ent- 
sprechende Meldung liegt ebensowenig 
vor, wie eine Vorabkontrolle durch den 
behördlichen Datenschutzbeauftragten 
des BKA. 

Damit ist eine Datenspeicherung un- 
zulässig und die Daten sind zu löschen 
($ 32 Abs. 2 Satz 1 BKA-Gesetz = $ 20 
Abs. 2 Nr. 1 BDSG). 

Damit ist eine Übermittlung nach 
polizeirechtlichen Grundsätzen nicht 
möglich. Gemäß Art. 6 Abs. 1 Ziff. c 
EG-Datenschutzrichtlinie haben die 
Mitgliedstaaten vorzusehen, dass die 
personenbezogenen Daten den Zwe- 
cken entsprechend für diese erhoben 
oder weiterverarbeitet werden, dafür 
erheblich sind und nicht darüber hin- 
ausgehen. Der Zweck der übermittelten 
Daten ist durch den Visa-K.odex festge- 
legt. Gemäß Art. 22 Abs. 2 Visa-Kodex 
VO haben die konsultierten zentralen 
Behörden das Ersuchen auf jeden Fall 
innerhalb von sieben Kalendertagen 
nach dem Eingang zu beantworten, 
andernfalls bedeutet dies, dass keine 
Einwände für die Erteilung eines Vi- 
sums bestehen. Anschließend entfällt 
der weitere Zweck der Daten. Eine 
Zweckänderung sieht der Visa-Kodex 
nicht vor. 

Soweit die Bundesrepublik Deutsch- 
land eine Zweckänderung über den 
Visa-Kodex hinaus vorsehen wollte, 
wäre dies — soweit europarechtlich zu- 
lässig — spezialgesetzlich zu regeln. 
Hierzu reicht $ 73 Abs. 3 Satz 3 Auf- 
enthG nicht aus, wenn ausgeführt wird, 
dass die übermittelten Daten für eigene 
Zwecke gespeichert und genutzt werden 
dürfen, hingegen Übermittlungsregelun- 
gen nach anderen Gesetzen unberührt 
bleibt. Damit wird der Bestimmtheits- 
grundsatz von Art. 6 EG-Datenschutz- 
richtlinie durchbrochen (siehe insoweit 
zur unmittelbaren Wirkung der Richt- 
linie - hier Art. 7 Buchstabe f EG-Da- 
tenschutzrichtlinie - EuGH, Urteil vom 
24.11.2011, Az. C-468/10 u.a.). 

Nach alledem durften die in das Ver- 
fahren eingeführt Daten durch die Be- 
klagte vom Bundeskriminalamt nicht 
mehr gespeichert sein. Dies mit der Fol- 
ge, dass das Bundeskriminalamt diese 
auch nicht hätte weitergeben (also über- 
mitteln) dürfen. 
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Gemäß $ 32 Abs. 2 Satz 1 BKA- 
Gesetz (entspricht $ 20 Abs. 2 Ziff. 1 
BDSG), sind personenbezogene Daten, 
die automatisiert verarbeitet werden, zu 
löschen, wenn ihre Speicherung unzu- 
lässig ist. Gemäß $ 32 Abs. 6 BKA-Ge- 


Thilo Weichert 


setz (entspricht $ 20 Abs. 8 BDSG) sind 
die Stellen zu verständigen, denen im 
Rahmen einer Übermittlung die Daten 
zur Speicherung weitergegeben wurden, 
wenn die Daten zu löschen sind. Dies 
dient der Sicherstellung der Zweckbin- 


Wilhelm Steinmüller ist tot 


Prof. Dr. Wilhelm Steinmüller ist am 
1. Februar 2013 im Alter von 78 Jahren 
gestorben. Steinmüller war ein Pionier 
des deutschen Datenschutzes und zu- 
gleich viel mehr: Er wurde in Ludwigs- 
hafen geboren und wuchs in München 
auf. Er studierte Jura, Theologie, Philo- 
sophie und Volkswirtschaft. Er war im- 
mer auf Entdeckungstour. Hatte er eine 
Entdeckungsreise abgeschlossen, so 
widmete er sich neuen Ufern. Er blieb 
ein Theoretiker und Wissenschaftler, 
den die Praxis eher als Feld für Studi- 
en, des Diskurses und der Aufklärung 
interessierte und weniger als Feld zur 
Weltverbesserung. Auch wenn er zeit- 
lich in die 68er passte, so war er nie ei- 
ner von ihnen. Gemeinsam hatte er mit 
den 68ern seine Beschäftigung mit der 
Nazizeit und die Notwendigkeit des Wi- 
derstands gegen totalitäre Fremdbestim- 
mung. 

Es gab zwei große Wechsel in seinem 
Leben: Ende der 60er Jahre wandte er 
sich von der Rechtstheologie ab — er 
hatte einen Lehrstuhl für Kirchenrecht 
in Regensburg — und kümmerte sich 
plötzlich um das von ihm mitbegrün- 
dete Fach der Rechtsinformatik. Einer 
seiner Assistenten in Regensburg, Hans- 
jürgen Garstka, war dann einer, der als 
Berliner Datenschutzbeauftragter die 
Entwicklung des Datenschutzrechtes 
von Anfang an stark mitbestimmte. Die 
zweite Zäsur vom „Lehrer“ zum „Hel- 
fer“ fand Ende der 80er/Anfang der 90er 
Jahre statt, als er sich von der Informatik 
abwandte und seitdem als Psychothera- 
peut tätig war, zunächst in den USA, 
wo seine Entdeckungsreise ihn auch zur 
Zentherapie oder zu schamanischen und 
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tantrischen LehrerInnen führte. Eine sei- 
ner Schwerpunktaktivitäten als Psycho- 
therapeut war die Trauma-Aufarbeitung. 
Diese Ausbildung ermöglichte es ihm, 
die sicherheitspolitischen datenschutz- 
kritischen Aktivitäten der Innenminister 
Schily und Schäuble zu Beginn des neu- 
en Jahrtausends aus einem ungewöhnli- 
chen Blickwinkel zu betrachten. 

Der Schwerpunkt eines Nachrufes 
muss bei Steinmüller beim Datenschutz 
liegen, wobei er diesen nie verengt als 
Privatsphärenschutz verstand, son- 
dern — als Ergebnis einer systemtheo- 
retischen Analyse — als informationelle 
Selbstbestimmung. Dieser Begriff, der 
später vom Bundesverfassungsgericht 
anlässlich der Volkszählungsentschei- 
dung 1983 zum Grundrecht erhoben 
wurde, wurde von ihm — gemeinsam 
mit einigen jungen Wissenschaftlern 
um ihn herum, darunter Bernd Lutter- 
beck - erstmals verwendet in dem 1971 
für das Bundesministerium des Innern 
erstellten Gutachten „Grundfragen des 
Datenschutzes“ vom Juli 1971, das aber 
erst 1983 veröffentlicht wurde (BT-Drs. 
V1/3826). Er sah nicht in den Daten die 
Gefahr für die Menschen, sondern in der 
Nutzung dieser Daten, die Macht und 
Geld versprechen. Intellektuell heraus- 
gefordert war er von den — damals in 
vieler Hinsicht unrealistischen — Visio- 
nen von Technikanbietern wie IBM und 
Siemens oder administrativen Techno- 
kraten wie dem damaligen Präsidenten 
des Bundeskriminalamtes Horst Herold, 
die die unbegrenzte Verfügbarkeit der 
Daten und deren Verwendung propa- 
gierten. Sein Reflex darauf war die — 
technisch realisierbare und rechtlich zu 


dung und führt zu einem Verwertungs- 
verbot bei allen speichernden Stellen. 


[Es folgen die Entscheidung eben- 
falls tragende Erwägungen zum Flucht- 
schicksal des Klägers.] 


erzwingende — „Datenzuteilung“. Als 
Zweckbindungsprinzip wurde diese 
1983 vom Bundesverfassungsgericht 
verfassungsrechtlich zur Norm erhoben. 
Wie aktuell sein Ansatz heute ist, zei- 
gen die Big-Data-Visionen, die inzwi- 
schen technisch erheblich realistischer 
sind als vor 40 Jahren. In den USA ist 
der Zweckbindungsgrundsatz bis heute 
noch nicht anerkannt. 

Steinmüller erkannte und erlebte die 
Diskussion um den Datenschutz als ei- 
nen Kampf um die Verfügungsmacht 
über Daten. In diesem Kampf gab und 
gibt es zwei Gruppen von Bedarfsträ- 
gern, die sich mit mehr oder weniger 
lauteren Mitteln diese Macht aneignen 
wollen: die Verwaltung und die Wirt- 
schaft. Während die Verwaltung die 
Macht des Faktischen für sich hatte, 
die mit dem Volkszählungsurteil grund- 
rechtlich gezähmt wurde, nutzte die 
Wirtschaft die Macht der Lobby. An- 
fang der 70er Jahre war das vorrangig 
die Lobby der Adresshändler und der 
Mediziner. Inzwischen sind viele wei- 
tere Lobbyisten dazugekommen. Stein- 
müller war kein Straßenkämpfer; diese 
Rolle überließ er anderen — der außer- 
parlamentarischen Opposition, z. B. 
den VolkszählungsgegnerInnen, für die 
er aber einen theoretischen Hintergrund 
herstellte und die er etwa in einem In- 
stitut für Kommunikationsökologie 
(IKÖ) in Bremen unterstützte. Auch 
war er nicht der strategisch politisch 
Handelnde, selbst wenn er als Gutach- 
ter in den Parlamenten herumgereicht 
wurde; diese Rolle nahmen die Da- 
tenschutzbeauftragten wahr mit Spiros 
Simitis an der Spitze. Seine Welt blieb 
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die der Wissenschaft und der Theorie, 
wobei er sich insofern — anders als sein 
Freund und Lehrer Adalbert Podlech — 
auch mit provokanten Diskussionsbei- 
trägen zu Wort meldete. 

Wilhelm Steinmüller verstand sich als 
Kommunikator; dabei hatte er Ecken 
und Kanten. Sein Anliegen war es, in der 
Informatikära eine vermittelnde Spra- 
che zwischen Gesellschaft, Recht und 
Technik zu finden. Hierfür schrieb er 
ein dickes Buch als Vermächtnis: „In- 
formationstechnologie und Gesellschaft 
— Einführung in die Angewandte Infor- 
matik“ (Darmstadt, 1993, abrufbar unter 
http://www.informaticsapplied-textbook. 
info/). Die Bezeichnung „Einführung“ 
ist ein Euphemismus; weniger beschei- 
den nannte er es auch das ‚weltweit erste 
und bisher umfassendste Lehrbuch für 
angewandte Informatik“. Es handelt sich 
eigentlich um fünf Bücher mit insgesamt 
745 Seiten, in denen Steinmüller eine 
Theorie der Informationsgesellschaft—- im 
wahrsten Sinne des Wortes „zusammen- 
baute“. In seinen Zettelkästen hatte er die 
Informationen gesammelt, aus denen er 
Bauplan, Baumaterial, Gebäude, Umwelt 
und Baukunst schuf. Das Werk, bei dem 
„informationelle Selbstbestimmung“ nur 
ein Aspekt unter vielen ist, wurde kaum 
rezipiert; die technische Entwicklung 
des Internet war rasant; für eine sozio- 
logische oder gesellschaftskritische Hin- 
terfragung bestand keine nennenswerte 
Nachfrage. Für Steinmüller blieb das In- 
ternet ein „riesiger Computer mit zu viel 
Drähten.“ Alles ist vernetzt; alles wird 
überwacht. Er blieb die ganze Zeit seiner 
Informatikära ein Nichttechniker. Dies 
waren Gründe genug für Steinmüller, sei- 
ne zweite Zäsur im Leben zu vollziehen 
— die vom Informatiker zum Psychothe- 
rapeuten. Die letzten Jahre seines Lebens 
seit 2006 verbrachte er in Berlin. Dort 
besuchten ihn zwei Mitarbeiter des Un- 
abhängigen Landeszentrums für Daten- 
schutz Schleswig-Holstein, Martin Rost 
und Henry Krasemann, und führten mit 
ihm ein einstündiges Interview, das im 
Internet abrufbar ist und die Erinnerung 
wachhält an einen eigenwilligen Pionier 
des Datenschutzes, dessen grundlegende 
Anliegen von bürgerrechtlich motivier- 
ten Datenschützern weiter verfolgt wer- 
den und verfolgt werden müssen (https:// 
www.datenschutzzentrum.de/interviews/ 
steinmueller/). 
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Leserbriefe erwünscht! 


Schicken Sie Ihre Texte entweder per E-Mail an 
dvd@datenschutzverein.de oder per Post an 
Deutsche Vereinigung für Datenschutz e.V. (DVD) 
Rheingasse 8-10, 53113 Bonn 
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DATENSCHUTZ HAT BEI UNS EINEN SEHR 
HOHEN STELLENWERT. WIR MÖCHTEN 


SCHLIESSLICH NICHT, DASS EIN 
WHISTLEBLOWER LEAKT, WELCHE IHRER 
DATEN WIR MIT PRISM AUSSPAHEN. 


